O que ocorreu
Atacantes têm explorado configurações de roteamento de e‑mail e proteções de spoofing mal definidas para enviar mensagens que aparentam ter origem interna, aumentando a eficácia de campanhas de phishing e de golpes do tipo invoice fraud. Mensagens com iscas como alertas de voicemail, documentos compartilhados ou avisos de redefinição de senha têm sido usadas para roubar credenciais e iniciar compromissos de e‑mail corporativo.
Vetor técnico
A problemática aparece principalmente quando registros MX (mail exchanger) não apontam diretamente para o Office 365 e quando conectores de terceiros são usados sem as verificações adequadas. Nesse cenário, mecanismos de autenticação como SPF podem gerar soft fail, DMARC pode falhar e DKIM pode estar ausente, enquanto o cabeçalho do Exchange pode marcar a mensagem como "interna" apesar da direção ser "incoming".
Indicadores de cabeçalho exemplares: X‑MS‑Exchange‑Organization‑InternalOrgSender = True combinado com X‑MS‑Exchange‑Organization‑MessageDirectionality = Incoming e X‑MS‑Exchange‑Organization‑AuthAs = Anonymous.
Consequências observadas
Mensagens forjadas nesse formato reduzem a suspeita do usuário e aumentam a taxa de sucesso de phishing-as-a-service (PhaaS). A Microsoft observou uso desse vetor em campanhas amplas, incluindo iscas ligadas a kits como Tycoon 2FA, e alerta para o risco de roubo de credenciais e comprometimento de cadeias de e‑mail entre parceiros.
Medidas recomendadas
- Configurar políticas DMARC com ação reject quando possível e evitar SPF em modo soft fail.
- Rever e endurecer conectores de terceiros, garantindo que o tráfego legítimo seja autenticado e assinado adequadamente.
- Monitorar cabeçalhos de e‑mail para identificar sinais de falsificação: combinação de marcador interno com direção externa e autenticação anônima.
- Priorizar a configuração do MX para apontar diretamente ao serviço de e‑mail gerido (por exemplo, Office 365) quando aplicável, pois isso mantém proteções nativas ativas.
Limites da informação disponível
Os alertas descrevem o método e exemplos de cabeçalhos, mas não trazem uma lista pública de domínios usados pelos atacantes nem quantificação exata de vítimas por região. Também não indicam, nos dados publicados, exploração de vulnerabilidade zero‑day — trata‑se de abuso de configuração e fluxo operacional.
Implicações para provedores e administradores
Para equipes de segurança e administradores de e‑mail, a existência desse vetor reforça a necessidade de processos de hardening para conectores e do uso de políticas de autenticação forte. Em ambientes onde terceiros processam mensagens, a validação entre domínios e a aplicação de DMARC/ SPF/ DKIM com regras de rejeição são controles essenciais para reduzir o risco de mensagens que parecem internas.