Atacantes estão transformando silenciosamente caixas de correio Microsoft Outlook confiáveis em plataformas de lançamento para roubar sessões do Microsoft 365 protegidas por autenticação multifator (MFA), mesmo quando os usuários acham que estão protegidos. O phishing Adversary in the Middle (AiTM) evoluiu para uma ferramenta confiável para sequestrar sessões em nuvem ao vivo das quais as organizações dependem para o trabalho diário.
Evolução da campanha e vetores de ataque
A atividade surgiu em maio de 2026, quando um único e-mail de phishing enviado a um pequeno grupo de funcionários desencadeou um incidente de segurança mais amplo em várias organizações. Uma vez que as primeiras contas foram comprometidas, os atacantes reutilizaram essas caixas de correio Outlook para reenviar os mesmos iscos de compras mais profundamente nas redes das vítimas e para parceiros externos.
Analistas da Infoblox rastrearam esse e-mail de volta a uma campanha maior e começaram a mapear como os atacantes estavam abusando do Outlook para se colocar entre os usuários e suas páginas de login do Microsoft 365. A campanha não visa usuários aleatórios, focando em universidades, empresas e instituições multinacionais, incluindo órgãos ligados à União Europeia e às Nações Unidas.
Técnicas de engenharia social e infraestrutura
Os iscos imitam fluxos de trabalho comerciais cotidianos, como solicitações de informações, convites de licitação e documentos de projeto compartilhados, o que os torna difíceis de ignorar para funcionários ocupados. Em muitos casos, os e-mails de phishing chegam de endereços internos familiares, transformando canais de comunicação confiáveis em ferramentas de comprometimento.
Quando uma vítima clica, ela geralmente aterrissa em um portal de download falso hospedado em domínios comprometidos, como testserveren[.]com ou barifurniture[.]net. Essas páginas copiam a aparência de plataformas de compartilhamento de arquivos ou portais de compras e apresentam vários arquivos compartilhados que parecem relevantes para o e-mail. As tentativas de download não entregam documentos; em vez disso, redirecionam as vítimas por etapas de CAPTCHA e para páginas de login do Microsoft 365 falsificadas.
Bypass de MFA e roubo de sessão
Do ponto de vista do usuário, eles simplesmente inserem seu endereço de e-mail, passam por um CAPTCHA e fazem login no Microsoft 365 como de costume. Nos bastidores, kits baseados em proxy reverso, como EvilProxy, FlowerStorm e Kali365, retransmitem as credenciais para o serviço real da Microsoft enquanto capturam os cookies de sessão ao vivo.
O atacante então reutiliza esses cookies para abrir sessões autenticadas, contornando o MFA e ganhando visibilidade total nas caixas de correio Outlook, arquivos do SharePoint e recursos mais amplos do Microsoft 365. Esse mesmo modelo impulsionou ataques de phishing AiTM recentes direcionados ao Microsoft 365 e contas do Google em toda a indústria.
Por que MFA e verificações de domínio não são suficientes
Esta campanha sublinha uma verdade difícil para os defensores: a autenticação multifator por si só não pode impedir um atacante que já está no meio do processo de login. Quando os fluxos de autenticação são proxy em tempo real, o atacante captura e retransmite o mesmo token de sessão que prova que o usuário passou pelo MFA, herdando efetivamente sua identidade.
A detecção tradicional baseada em reputação de domínio e filtragem de URL também luta neste cenário. Os atores preferem domínios antigos que anteriormente hospedavam conteúdo legítimo e não mostram picos recentes de registro. Muitos de seus páginas de phishing são entregues por domínios gerados por RDGA com nomes corporativos, alinhados com tendências em ecossistemas de phishing como serviço.
Indicadores de comprometimento (IoCs)
Os domínios identificados incluem barifurniture[.]net, satoriestate[.]com, sohantraders[.]com, testserveren[.]com, vresortsliving[.]com, consistenthostinghub[.]de, designenhancessatisfaction[.]de, evergreenhostingoptions[.]de, innovativegrowthstrategy[.]de, reliablecontinuitysolutions[.]de, sustainablegrowthlaunch[.]de, solidhostingservices[.]de, usersatisfactionlab[.]de, assessmentevaluationreport[.]com, corporatetermscompliance[.]com, employeehandbookcompliance[.]com, esignidentification[.]com, q1evaluationperformance[.]net e duemineral[.]uk.
Recomendações para CISOs e equipes de SOC
A Infoblox recomenda que as organizações adicionem visibilidade baseada em DNS e inteligência de ameaças acima dos controles existentes para detectar essas campanhas mais cedo na cadeia de morte. Padrões de RDGA, convenções de nomenclatura de subdomínio e reutilização de infraestrutura deixam impressões digitais que permanecem visíveis à análise de DNS passivo mesmo após as URLs de phishing individuais desaparecerem.
Acoplar telemetria DNS com monitoramento contínuo dos comportamentos de login do Microsoft 365 e aplicar políticas de acesso condicional pode ajudar a reduzir a janela na qual sessões roubadas permanecem úteis para os atacantes. As organizações devem considerar a implementação de autenticação sem senha e monitorar atividades anômalas de login, como acessos de novos dispositivos ou locais incomuns.
Conclusão e impacto estratégico
Este ataque reforça a necessidade de uma postura de segurança em camadas. A confiança em MFA tradicional é insuficiente contra ataques AiTM sofisticados. A implementação de autenticação resistente a phishing, como chaves de segurança FIDO2, é essencial para proteger sessões críticas. Além disso, a educação do usuário sobre a verificação de URLs e a monitorização proativa de ameaças são fundamentais para mitigar riscos.