Federal Bureau of Investigation (FBI) Amerika Serikat mengeluarkan peringatan kepada pengguna Microsoft 365 terkait serangan siber berbasis kecerdasan buatan (AI) yang disebut mampu mencuri akses akun tanpa harus mengetahui kata sandi korban secara langsung.
Dalam pengumuman layanan publik yang dirilis pada 21 Mei 2026, FBI menyebut metode serangan ini dengan nama “Kali365”. FBI menyatakan, Kali365 pertama kali terdeteksi pada April 2026 dan kini mulai digunakan secara luas melalui layanan Phishing-as-a-Service (PhaaS), yakni model serangan siber yang dijual atau disewakan kepada pelaku lain.
Menurut FBI, Kali365 memungkinkan pelaku memperoleh token akses Microsoft 365 dan melewati sistem autentikasi multi-faktor atau multi-factor authentication (MFA). Dalam prosesnya, serangan ini memanfaatkan infrastruktur autentikasi resmi milik Microsoft untuk mencuri kredensial pengguna.
FBI menjelaskan, serangan diawali dari e-mail palsu (phishing) yang menyamar sebagai layanan produktivitas cloud atau layanan berbagi dokumen yang terpercaya. Meski platform Kali365 disebut didistribusikan kepada pelaku melalui aplikasi percakapan Telegram, upaya penipuan terhadap korban dilakukan lewat e-mail phishing.
Di dalam e-mail tersebut, korban menerima kode perangkat (device code) beserta instruksi untuk membuka halaman verifikasi resmi Microsoft dan memasukkan kode itu. Karena halaman yang diakses merupakan situs resmi Microsoft, korban berpotensi menganggap proses tersebut aman dan sah.
Namun, setelah kode dimasukkan, token autentikasi OAuth milik korban disebut akan terkirim ke pelaku. Dengan token tersebut, peretas dapat masuk ke akun Microsoft 365 korban dari perangkat mereka sendiri tanpa perlu mengetahui kata sandi maupun melewati verifikasi MFA tambahan.
FBI memperingatkan, setelah akses berhasil diperoleh, pelaku dapat membuka berbagai layanan Microsoft 365, termasuk Outlook, Teams, dan OneDrive.
