Federal Bureau of Investigation (FBI) mengeluarkan peringatan kepada pengguna Microsoft 365 terkait serangan siber berbasis kecerdasan buatan (AI) yang diklaim mampu mencuri akses akun tanpa harus mengetahui kata sandi korban secara langsung.
Dalam pengumuman layanan publik yang dirilis pada 21 Mei 2026, FBI menyebut metode serangan tersebut dengan nama “Kali365”. Menurut FBI, Kali365 pertama kali terdeteksi pada April 2026 dan kini mulai digunakan secara lebih luas melalui skema Phishing-as-a-Service (PhaaS), yakni model serangan yang dijual atau disewakan kepada pelaku lain.
FBI menjelaskan, Kali365 memungkinkan pelaku memperoleh token akses Microsoft 365 dan melewati sistem autentikasi multi-faktor (multi-factor authentication/MFA). Dalam prosesnya, serangan ini memanfaatkan infrastruktur autentikasi resmi milik Microsoft untuk mencuri kredensial pengguna.
Menurut FBI, rangkaian serangan diawali dari e-mail phishing yang menyamar sebagai layanan produktivitas cloud atau layanan berbagi dokumen yang dipercaya. Meski platform Kali365 disebut didistribusikan melalui aplikasi percakapan Telegram kepada para pelaku, upaya penipuan terhadap korban dilakukan lewat e-mail.
Di dalam e-mail tersebut, korban menerima kode perangkat (device code) beserta instruksi untuk membuka halaman verifikasi resmi Microsoft dan memasukkan kode itu. Karena halaman yang diakses merupakan situs resmi Microsoft, korban berpotensi menganggap proses tersebut aman dan sah.
Namun, setelah kode dimasukkan, token autentikasi OAuth milik korban akan terkirim ke pelaku. Dengan token tersebut, peretas dapat masuk ke akun Microsoft 365 korban dari perangkat mereka sendiri tanpa perlu mengetahui kata sandi dan tanpa melewati verifikasi MFA tambahan.
FBI memperingatkan, setelah akses diperoleh, pelaku dapat membuka berbagai layanan Microsoft 365, termasuk Outlook, Teams, dan OneDrive. Kondisi ini membuat data serta dokumen penting yang tersimpan di layanan tersebut berisiko dicuri.
FBI juga menyebut Kali365 memanfaatkan AI untuk mempermudah serangan, mulai dari pembuatan e-mail phishing otomatis, penyediaan template kampanye, pelacakan target secara real-time, hingga kemampuan menangkap token OAuth. Kemunculan alat semacam ini dinilai dapat menurunkan hambatan bagi pelaku yang tidak memiliki kemampuan teknis tinggi untuk tetap melancarkan pencurian data.
Untuk mengurangi risiko, FBI menyarankan perusahaan menerapkan kebijakan pembatasan autentikasi perangkat serta mengaktifkan conditional access policy pada Microsoft 365. Sementara bagi pengguna umum, FBI mengingatkan agar lebih waspada terhadap e-mail yang meminta tindakan tertentu atau menyertakan tautan dan kode verifikasi, tidak membuka tautan dokumen yang tidak diharapkan, serta memastikan keaslian e-mail sebelum memasukkan informasi login atau kode autentikasi.
