Campanha de Spoofing de Client ID OAuth Afeta Microsoft Entra ID
Atorres de ameaças estão explorando cada vez mais IDs de cliente OAuth falsificados para enumerar contas do Microsoft Entra ID e identificar credenciais potencialmente válidas, evadindo métodos tradicionais de detecção, segundo pesquisa recente da Proofpoint. IDs de cliente OAuth são identificadores globalmente exclusivos atribuídos a aplicativos registrados. Durante a autenticação, um aplicativo envia seu identificador através do parâmetro client_id.
O Microsoft Entra ID geralmente registra essas informações em registros de entrada, incluindo o nome do aplicativo quando o ID pertence a um aplicativo registrado legítimo. No entanto, atacantes podem enviar IDs de cliente fabricados durante solicitações de autenticação. O Entra ID fornece mensagens de erro diferentes dependendo de se o nome de usuário, senha e identificador de aplicativo são válidos.
Como Funciona o Ataque de Spoofing
Isso permite que atacantes determinem se uma conta existe e se as credenciais fornecidas estão corretas. A Proofpoint testou essa técnica usando o endpoint de token OAuth da Microsoft e o fluxo de Credenciais de Proprietário de Recursos (ROPC). Um nome de usuário inexistente gera o erro AADSTS50034, enquanto um nome de usuário válido combinado com uma senha incorreta retorna AADSTS50126.
Se os atacantes usarem um nome de usuário e senha válidos com um identificador de aplicativo não registrado ou falsificado, o Entra ID pode retornar o erro AADSTS700016, indicando que o identificador de aplicativo não é reconhecido. Esta resposta é particularmente significativa porque pode revelar pares de nome de usuário e senha válidos sem acionar um evento de entrada bem-sucedido.
Consequentemente, atacantes podem identificar credenciais comprometidas enquanto as equipes de segurança veem apenas o que parecem ser tentativas de autenticação falhas. Além disso, essa técnica mina os esforços de detecção baseados em nomes de aplicativo. Quando um ID de cliente sintaticamente válido, mas não registrado, é fornecido, o Entra ID pode registrar o ID do aplicativo sem um nome de aplicativo associado.
Campanhas Identificadas pela Proofpoint
A Proofpoint identificou duas grandes campanhas utilizando essa abordagem:
- UNK_pyreq2323: Ocorreu em janeiro de 2026 e visou mais de 111 milhões de contas em quase 4.000 inquilinos do Entra ID. Esta campanha empregou mais de 700.000 IDs de cliente falsificados e supostamente causou bloqueio de contas para aproximadamente 28% dos usuários visados.
- UNK_OutFlareAZ: Começou em dezembro de 2025 e operou em uma escala significativamente maior. Visou mais de 222 milhões de usuários e utilizou 3,7 milhões de IDs de cliente falsificados. Esta atividade originou-se principalmente da infraestrutura da Cloudflare e empregou um agente de usuário do Microsoft Outlook forjado.
A campanha UNK_OutFlareAZ gerou um novo ID de cliente UUIDv4 aleatório para cada solicitação de autenticação, reduzindo a reutilização de identificadores e tornando a correlação mais desafiadora. Pesquisadores da Proofpoint também notaram que esta campanha testou nomes de usuário comuns, como dsmith, msmith e jbrown, em vários inquilinos.
Implicações para a Segurança de Identidade
Esta técnica é particularmente preocupante para organizações que dependem do Microsoft Entra ID para autenticação de funcionários e clientes. A capacidade de enumerar contas sem acionar alertas de segurança tradicionais permite que atacantes construam listas de alvos válidos para ataques de força bruta ou phishing direcionado.
Para o mercado brasileiro, onde a adoção de soluções de identidade na nuvem é crescente, a compreensão dessas táticas é vital para a proteção de dados corporativos. A exploração de falhas de autenticação pode levar a violações de dados que exigem notificação sob a Lei Geral de Proteção de Dados (LGPD).
Mitigação e Configuração de Logs
Organizações são aconselhadas a revisar os registros de entrada do Entra ID em busca de eventos de autenticação que estão faltando nomes de aplicativo ou contêm IDs de aplicativo em branco. Defensores também devem investigar erros AADSTS700016, pois podem indicar que os atacantes forneceram credenciais válidas junto com um ID de aplicativo OAuth falso, em vez de meramente encontrar um problema de configuração com o aplicativo.
Recomendações incluem:
- Monitoramento de Erros: Configure alertas para erros AADSTS700016 em volumes anormais.
- Revisão de Logs: Revise logs de entrada para identificar IDs de cliente sem nomes de aplicativo associados.
- Autenticação Multifator: Implemente autenticação multifator (MFA) para reduzir o risco de uso de credenciais comprometidas.
- Limitação de Taxa: Aplique limitação de taxa em endpoints de autenticação para dificultar a enumeração em massa.
Perguntas Frequentes
Como detectar esse ataque?
Monitore erros AADSTS700016 e IDs de cliente sem nomes de aplicativo nos logs de entrada do Entra ID.
Isso afeta apenas contas corporativas?
Não, a campanha visou milhões de contas, incluindo contas pessoais e corporativas, dependendo da configuração do inquilino.
Qual a melhor defesa?
Implemente MFA, monitore logs de entrada e aplique limitação de taxa em endpoints de autenticação.
Conclusão
A Proofpoint indicou que os agentes de usuário distintos, infraestrutura e técnicas de geração de ID sugerem que múltiplos atores de ameaças adotaram independentemente o spoofing de ID de cliente OAuth. A vigilância contínua e a configuração adequada de logs são essenciais para mitigar esse risco emergente de segurança de identidade.