Novo vetor de ataque social direciona administradores de TI
Um grupo de cibercriminosos tem utilizado técnicas avançadas de engenharia social para enganar usuários do Microsoft 365, induzindo-os a registrar chaves de acesso (passkeys) maliciosas em suas contas do Entra ID. A campanha, identificada por pesquisadores de segurança, utiliza chamadas de voz falsas que se passam por solicitações de segurança legítimas, explorando a confiança dos usuários em processos de autenticação multifator (MFA) modernos.
Diferente dos ataques de phishing tradicionais que dependem de e-mails fraudulentos, esta variante de vishing (phishing por voz) ataca diretamente o fluxo de registro de credenciais biométricas ou de hardware. Os atacantes contatam as vítimas alegando que há uma atividade suspeita na conta e que a reconfiguração imediata das chaves de segurança é necessária para evitar o bloqueio do acesso ao e-mail corporativo e aos dados sensíveis.
Mecânica da exploração e vetor de ataque
O ataque opera em etapas precisas para contornar as defesas padrão de segurança. Inicialmente, o criminoso realiza uma chamada telefônica para um funcionário ou administrador de TI, muitas vezes utilizando números mascarados que parecem pertencer ao suporte técnico da Microsoft ou de uma empresa parceira de segurança. Durante a conversa, o atacante cria um senso de urgência, afirmando que uma tentativa de login foi detectada em um dispositivo não reconhecido.
Para resolver o problema, a vítima é instruída a acessar o portal de gerenciamento de segurança do Microsoft 365 e registrar uma nova passkey. O criminoso guia a vítima passo a passo, muitas vezes solicitando que ela compartilhe a tela ou insira códigos de verificação em tempo real. Uma vez que a passkey maliciosa é registrada, o atacante ganha acesso persistente à conta, contornando a autenticação baseada em senha tradicional.
A exploração é particularmente preocupante porque as passkeys são projetadas para serem mais seguras que senhas, mas a engenharia social pode anular essa proteção se o usuário for induzido a registrar a chave em um dispositivo controlado pelo atacante. O ataque não depende de vulnerabilidades técnicas no software, mas sim da manipulação psicológica do usuário final.
Impacto e alcance da campanha
Embora o número exato de vítimas não tenha sido divulgado publicamente, os relatórios indicam que a campanha está ativa em múltiplos setores, incluindo tecnologia, finanças e serviços profissionais. A natureza direcionada do ataque sugere que os criminosos podem estar focando em organizações com políticas de segurança rigorosas, onde as senhas são frequentemente substituídas por métodos de autenticação mais fortes, como passkeys.
O comprometimento de contas do Entra ID pode levar a um acesso lateral dentro da rede corporativa, permitindo que os atacantes roubem dados confidenciais, instalem malware adicional ou utilizem a conta para enviar e-mails de phishing para outros funcionários, ampliando o alcance do incidente. Além disso, o acesso a contas administrativas pode permitir a alteração de políticas de segurança, dificultando a detecção e a resposta ao incidente.
Indicadores de comprometimento e sinais de alerta
Os profissionais de segurança devem estar atentos a sinais específicos que podem indicar que uma conta foi alvo deste tipo de ataque. Entre os indicadores de comprometimento (IoCs) estão:
- Registros de login de dispositivos ou locais não reconhecidos.
- Novas passkeys registradas sem solicitação formal do usuário.
- Chamadas telefônicas suspeitas solicitando ações de segurança imediatas.
- Alterações não autorizadas nas configurações de autenticação multifator.
- Atividades de acesso a dados sensíveis fora do horário comercial habitual.
A Microsoft recomenda que os usuários verifiquem regularmente a lista de dispositivos e chaves de segurança associadas à sua conta no portal de segurança do Microsoft 365. Qualquer dispositivo ou chave não reconhecida deve ser removida imediatamente.
Medidas de mitigação recomendadas para CISOs
Para mitigar os riscos associados a esta campanha, as organizações devem implementar as seguintes medidas de segurança:
- Conscientização e Treinamento: Realizar treinamentos específicos sobre vishing e engenharia social, enfatizando que a Microsoft ou qualquer outra organização legítima nunca solicitará que um usuário registre uma passkey durante uma chamada telefônica.
- Autenticação Forte: Implementar políticas de autenticação que exijam verificação adicional para o registro de novos dispositivos ou chaves de segurança, como a necessidade de aprovação de um administrador de TI.
- Monitoramento de Logs: Configurar alertas para eventos de registro de passkeys e login de dispositivos não reconhecidos no Azure AD (Entra ID).
- Política de Contato: Estabelecer um canal oficial de comunicação para que os usuários possam verificar a legitimidade de solicitações de segurança, como um número de telefone interno ou um portal de suporte conhecido.
- Resposta a Incidentes: Ter um plano de resposta a incidentes que inclua a revogação de passkeys comprometidas e a redefinição de credenciais em caso de suspeita de comprometimento.
Conclusão e perspectivas futuras
A evolução das técnicas de ataque social reflete a necessidade contínua de adaptação das defesas de segurança. À medida que as organizações adotam métodos de autenticação mais avançados, como passkeys, os criminosos também evoluem para explorar as falhas humanas nesses processos. A combinação de tecnologia robusta com conscientização constante dos usuários é fundamental para manter a segurança das identidades digitais.
Os profissionais de segurança devem permanecer vigilantes e atualizados sobre as últimas táticas de engenharia social, garantindo que suas organizações estejam preparadas para responder rapidamente a qualquer tentativa de comprometimento de contas.
Perguntas frequentes
Como saber se uma chamada de segurança é legítima?
Nunca forneça informações sensíveis ou realize ações de segurança durante uma chamada telefônica não solicitada. Verifique sempre a identidade do chamador através de canais oficiais.
É seguro usar passkeys?
Sim, as passkeys são mais seguras que senhas, mas apenas se não forem registradas sob coerção ou engano. A segurança depende da integridade do processo de registro.
O que fazer se suspeitar de um ataque?
Revogue imediatamente as passkeys suspeitas, altere a senha da conta e notifique a equipe de segurança da informação.