▲ 미국 수사기관인 연방수사국(FBI) 빌딩 [출처=홈페이지]
미국 수사기관인 연방수사국(FBI)은 2026년 5월25일 이른바 '칼리365(Kali36)라 부르는 서비스형 피싱(PhaaS)이 텔레그램(Telegram)을 통해 유포된다고 밝혔다. 2026년 4월 탐지한 유형으로 생성형 AI 사용자를 유혹하기 위해 자동화된 캠페인 템플릿을 유포한다. 사용자를 실시간으로 타겟팅하며 대시보스를 추적하기 위함이다.

마이크로소프트 365프로그램을 사용하는 기술적으로 낮은 수준의 사용자가 주요 목표물이다. 칼리365 플랫폼을 통해 개인의 마이크로소프트 365 환경에 끊임 없이 접근하려고 시도한다.

2026년 5월21일 FBI가 권고한 내용에 따르면 공격자는 타겟이 친밀하게 메일이나 문서를 주고받은 경험이 있는 사람처럼 위장해 메일을 보낸다.

해당 메일에는 마이크소프트의 인증 페이지나 코드 입력창이 포함된 사이트로 방문하도록 유도하는 페이지가 포함돼 있다. 희생자는 실제 마이크로소프트의 인증 페이지에 접속해 암호를 입력하게 되는데 이때 정보가 유출된다.

공격자는 이렇게 확보한 암호를 활용해 사용자의 마이크로소프트 365프로그램에 접근한다. 아웃룩, 팀즈, 원드라이브 등에서 다양한 개인정보를 찾아 악용하게 된다.