Pesquisadores da Proofpoint identificaram uma campanha de espionagem cibernética conduzida por um grupo ligado à Rússia que explora uma vulnerabilidade no Microsoft Outlook Web Access (OWA) para manter acesso às caixas de e-mail das vítimas mesmo após a troca de senhas. A atividade foi atribuída ao grupo TA488, também conhecido como Void Blizzard ou Laundry Bear.
De acordo com a pesquisa, os ataques começaram em 22 de julho de 2026 e têm como alvo organizações governamentais e empresas dos setores de telecomunicações, financeiro, hotelaria e aeroespacial nos Estados Unidos e na Europa.
Os invasores exploram a vulnerabilidade CVE-2026-42897, que permite a execução de código JavaScript no contexto da sessão do usuário no OWA. A exploração pode ocorrer quando a vítima apenas abre um e-mail especialmente preparado, sem necessidade de clicar em links ou baixar anexos, possibilitando o sequestro da sessão autenticada.
Mesmo após a redefinição da senha, os criminosos conseguem manter acesso às caixas de correio por meio da persistência da sessão comprometida. Isso dificulta a remoção do invasor caso a organização adote apenas a troca de credenciais como medida de contenção. Especialistas alertam que, nesses casos, é fundamental também revogar todos os tokens e encerrar as sessões ativas dos usuários afetados.
A Microsoft já disponibilizou correções para a falha e recomenda que clientes atualizem imediatamente os servidores afetados. Além da aplicação dos patches, especialistas orientam monitorar logs de autenticação, revisar acessos suspeitos às caixas de correio e verificar possíveis atividades anômalas após qualquer indício de comprometimento.
O caso reforça a crescente sofisticação das campanhas de espionagem patrocinadas por Estados, que vêm combinando vulnerabilidades inéditas com técnicas de persistência capazes de contornar procedimentos tradicionais de resposta a incidentes, aumentando o tempo de permanência dos invasores nos ambientes comprometidos.
