FBI 警告 Kali365 釣魚即服務竊取 Microsoft 365 權杖，企業應限制裝置代碼流程

Kali365 是一個釣魚即服務平台，攻擊者利用其自動化架構，透過偽造的電子郵件或登入頁面竊取受害者的 Microsoft 365 權杖。一旦權杖被竊取，攻擊者即可偽裝成合法使用者，繞過安全檢查並存取企業敏感資料或進行進一步的惡意操作。這種手法常被用於大規模的企業資料竊取與勒索攻擊。一般企業員工容易在收到看似正常的登入通知或系統更新提示時，因未仔細核實來源而點擊惡意連結。許多使用者缺乏對權杖（Token）重要性的認知，誤以為輸入密碼即完成驗證，忽略了權杖被竊取後的後果。企業若未實施嚴格的裝置管理與權杖過期機制，將面臨巨大的資安風險。建議企業應強制啟用多因素驗證（MFA），並定期審視與限制裝置代碼流程，同時對員工進行資安意識培訓，以識別並阻斷此類釣魚攻擊。