Ataques de engenharia social contornam MFA
Criminosos estão usando phishing temático de passkey para tomar controle de contas do Microsoft 365 e coletar dados na nuvem. A campanha pode contornar proteções de MFA (Autenticação Multifator). A campanha começa com chamadas e mensagens de texto para funcionários. Os atacantes se passam como suporte de TI, afirmam que uma configuração de passkey, MFA ou single sign-on precisa de atenção e direcionam os alvos para páginas de login semelhantes.
Contas comprometidas também podem enviar iscas através do Microsoft Teams. Pesquisadores da Microsoft identificaram a atividade em intrusões em nuvem observadas desde maio de 2026. Eles encontraram logins incomuns seguidos por novos métodos de autenticação, consultas do Microsoft Graph e downloads do SharePoint, OneDrive e serviços de e-mail. O padrão indica coleta deliberada de identidades em nuvem comprometidas.
Técnicas de ataque e contornos de segurança
A história da passkey é um pretexto, não um esforço para registrar uma passkey. As vítimas podem ser colocadas em um fluxo de phishing adversário-na-média, onde um site falso retransmite seu login para o serviço real e captura credenciais e tokens de sessão. Eles podem, em vez disso, completar um login de código de dispositivo que concede acesso a um cliente controlado pelo atacante.
Um usuário pode completar o MFA e ainda entregar uma sessão de nuvem utilizável. Uma campanha de roubo de sessão BigBear mostrou que páginas de phishing podem roubar a prova de que o MFA foi concluído. Os prompts de autenticação merecem a mesma atenção que os pedidos de senha, após uma chamada ou texto inesperado.
Após a entrada, os operadores buscam acesso duradouro adicionando um número de telefone, aplicativo autenticador ou token de senha de uso único sob seu controle. Uma redefinição de senha pode não evitá-los se sessões ativas, tokens de atualização ou métodos de autenticação não autorizados permanecerem. As equipes devem investigar logins arriscados junto com todo fator registrado.
Coleta de dados na nuvem
Uma vez estabelecida a persistência, os atacantes usam o Microsoft Graph para aprender o que o usuário pode alcançar. Eles enumeram usuários, grupos, funções, aplicativos, permissões, sites, unidades, pastas, arquivos, caixas de correio e anexos. Uma solicitação pode ser normal, mas uma descoberta ampla seguida por recuperação de conteúdo revela uma intrusão coordenada.
Os operadores então visam o SharePoint Online e o OneDrive for Business com acesso e download de arquivos de alto volume. Alguns casos se estenderam ao acesso REST API do Exchange Online ao conteúdo de e-mail. A Microsoft observou que a coleta muitas vezes ocorre abaixo de 1.000 arquivos ou e-mails por hora, um ritmo que pode evitar a atenção enquanto continua por horas ou dias.
Recomendações de segurança
Para uma confirmação de comprometimento, as equipes devem revogar sessões ativas e tokens de atualização, redefinir credenciais, remover métodos de autenticação não autorizados e regras de caixa de correio, e depois exigir registro de MFA seguro. Elas devem exigir MFA resistente a phishing, limitar o acesso à nuvem de dispositivos não gerenciados, restringir fluxos de código de dispositivo, a menos que necessário, e revisar o consentimento de aplicativos e permissões privilegiadas do Graph.
As ações refletem lições de casos de sequestro de sessão M365, onde sessões roubadas podem sobreviver a uma redefinição de senha. O treinamento deve cobrir golpes de voz, texto e Teams, enquanto a auditoria de nuvem e caixa de correio pode impedir que uma atualização de passkey de aparência rotineira se torne uma violação de dados.