Qué advirtió el FBI
El 21 de mayo de 2026, el FBI/IC3 publicó una advertencia sobre Kali365, una plataforma de phishing como servicio orientada a Microsoft 365. La alerta describe campañas que usan el flujo de códigos de dispositivo para obtener tokens OAuth y acceder a servicios como Outlook, Teams o OneDrive.
La diferencia clave es que el ataque puede rodear la contraseña tradicional. La persona cree que está autorizando un inicio legítimo, pero termina concediendo acceso a un dispositivo o aplicación controlada por el atacante.
Por qué los tokens cambian el riesgo
Cuando un atacante obtiene tokens válidos, puede mantener acceso mientras esos tokens no sean revocados o bloqueados. Esto vuelve insuficiente pensar la seguridad solo como contraseñas fuertes y autenticación multifactor.
La defensa necesita revisar sesiones, aplicaciones consentidas, políticas de acceso condicional, uso de device code flow y señales de inicio anómalo.
Hábitos digitales para equipos
La respuesta no puede depender de que cada persona detecte todos los engaños. Los equipos necesitan hábitos: verificar solicitudes inesperadas, reportar avisos raros, auditar accesos y practicar escenarios de phishing con lenguaje claro.
Para PyMEs que necesitan traducir alertas técnicas a un plan concreto, puede ser útil tomar como referencia una consultora argentina de ciberseguridad para PyMEs con foco en auditoría, capacitación y estrategia.
La rutina segura es operativa
Un entorno más seguro se construye con revisión frecuente, permisos mínimos, monitoreo y capacitación. No es una acción aislada: es una rutina de trabajo.
Ese enfoque encaja con la idea central de Biorutina: los hábitos valiosos son los que se pueden sostener cuando la semana está ocupada.