Especialistas em segurança cibernética alertaram para uma nova campanha de engenharia social que tem como alvo usuários do Microsoft 365. No golpe, criminosos entram em contato por telefone fingindo ser profissionais do suporte técnico ou da equipe de TI da empresa para convencer funcionários a cadastrar uma nova chave de autenticação na conta corporativa.
A fraude explora a confiança das vítimas durante a ligação. Os golpistas orientam o usuário a realizar um procedimento aparentemente legítimo para adicionar uma nova passkey ou método de autenticação ao Microsoft 365. Na prática, a nova credencial fica vinculada ao invasor, que passa a ter acesso à conta da vítima.
Com o controle da conta, os criminosos conseguem acessar e-mails, arquivos armazenados na nuvem, documentos compartilhados e outros serviços integrados ao Microsoft 365. Dependendo das permissões do usuário comprometido, o ataque também pode servir como porta de entrada para invasões mais amplas na infraestrutura da organização.
Segundo pesquisadores de segurança, a campanha demonstra como ataques de engenharia social continuam sendo uma das principais ameaças para empresas, mesmo em ambientes protegidos por autenticação multifator. Em vez de explorar falhas técnicas, os criminosos manipulam as vítimas para que elas próprias concedam o acesso.
Especialistas recomendam que empresas reforcem o treinamento de conscientização dos colaboradores e orientem que nenhuma alteração em métodos de autenticação seja realizada apenas com base em ligações telefônicas. Sempre que houver uma solicitação desse tipo, a identidade do solicitante deve ser confirmada por canais oficiais antes da execução de qualquer procedimento.
A recomendação também inclui monitorar regularmente os métodos de autenticação cadastrados nas contas corporativas e remover imediatamente qualquer dispositivo ou chave de acesso desconhecida, reduzindo o risco de comprometimento das credenciais.
