Uma ligação aparentemente rotineira do suporte de TI pode ser o começo de uma invasão capaz de abrir as portas de praticamente toda a estrutura de nuvem de uma empresa.
A Microsoft revelou uma campanha de ataques observada desde maio de 2026 na qual criminosos pesquisam previamente funcionários e organizações, entram em contato com os alvos e alegam que existe uma necessidade urgente de atualizar uma passkey, a autenticação multifator (MFA) ou a configuração de Single Sign-On (SSO).
A vítima é então conduzida a páginas cuidadosamente preparadas para parecer portais legítimos de autenticação corporativa. Em algumas operações, o endereço é enviado diretamente por SMS para o telefone pessoal do funcionário.
Mas existe um detalhe fundamental: os criminosos normalmente não estão tentando cadastrar uma passkey falsa.
O assunto é usado como pretexto para conduzir a vítima a outros mecanismos capazes de entregar uma sessão autenticada aos invasores.
O ataque não significa que as passkeys foram quebradas
Esse é o primeiro ponto que precisa ser esclarecido.
A descoberta da Microsoft não demonstra uma vulnerabilidade criptográfica nas passkeys e tampouco significa que criminosos descobriram uma maneira simples de copiar uma chave FIDO2.
Na realidade, eles exploram algo muito mais antigo e, frequentemente, mais eficiente: a confiança do usuário.
O funcionário recebe uma ligação ou mensagem de alguém que parece conhecer a empresa. O suposto técnico explica que uma atualização precisa ser feita imediatamente para evitar a perda de acesso.
O argumento faz sentido porque empresas realmente estão migrando para passkeys, MFA e autenticação sem senha.
A tecnologia de segurança acaba sendo transformada no próprio tema do golpe.
Criminosos pesquisam a vítima antes de ligar
A Microsoft afirma que os atacantes parecem investir significativamente em reconhecimento antes da abordagem.
Informações públicas disponíveis em redes sociais, plataformas profissionais e páginas corporativas podem ser utilizadas para compreender a estrutura da organização e identificar funcionários adequados para o ataque.
Isso permite criar abordagens muito mais convincentes.
Em vez de uma mensagem genérica dizendo “sua conta será bloqueada”, o criminoso pode saber onde a pessoa trabalha, sua função e outros detalhes capazes de tornar a história mais plausível.
É o mesmo princípio utilizado em ataques de spear phishing, mas aplicado a uma operação que mistura telefone, mensagens, identidade e nuvem.
Até os domínios são personalizados
Os criminosos também registram endereços que parecem relacionados à configuração de identidade corporativa.
A Microsoft encontrou domínios com termos relacionados a “passkey”, “helpdesk”, “SSO”, “setup”, “key synchronization” e “verification”.
Em alguns casos, o nome da empresa atacada é colocado em um subdomínio.
Algo semelhante a:
empresa.secure-passkey[.]com
Para alguém que recebe o endereço durante uma ligação urgente do “suporte”, uma leitura rápida pode fazer o domínio parecer legítimo.
A infraestrutura também é alterada rapidamente. Isso reduz o tempo disponível para equipes de segurança identificarem e bloquearem os endereços antes que sejam utilizados contra funcionários.
O verdadeiro golpe começa depois do clique
A Microsoft identificou pelo menos dois caminhos particularmente importantes.
Um deles utiliza Adversary-in-the-Middle, ou AiTM.
Nesse modelo, o site falso funciona como intermediário entre a vítima e o serviço verdadeiro de autenticação.
O funcionário acredita estar entrando normalmente em sua conta. Enquanto isso, a infraestrutura do criminoso pode capturar credenciais e, principalmente, tokens de sessão.
É esse segundo elemento que torna o ataque perigoso.
Mesmo quando existe MFA, roubar uma sessão já autenticada pode permitir que o invasor utilize aquela identidade sem precisar repetir imediatamente todo o processo de login.
Outro ataque usa uma página verdadeira da Microsoft
O segundo método é ainda mais traiçoeiro porque parte da autenticação acontece em infraestrutura legítima.
Trata-se do device code phishing.
Nesse cenário, a vítima é convencida a inserir um código fornecido pelo criminoso em uma página legítima de autenticação da Microsoft.
O usuário vê o endereço verdadeiro.
Pode até conferir o HTTPS.
A página realmente pertence à Microsoft.
O problema é que o código está associado a um fluxo iniciado pelo atacante.
Ao aprová-lo, a vítima pode acabar autorizando um cliente controlado pelo criminoso a obter um token de acesso.
A Microsoft observou exatamente esse tipo de sequência em uma das invasões investigadas.
MFA pode estar funcionando exatamente como deveria — e mesmo assim o ataque ter sucesso
Esse cenário demonstra uma mudança importante na segurança de identidades.
Durante anos, a recomendação central foi:
ative a autenticação de dois fatores.
Ela continua essencial.
Mas criminosos aprenderam a construir ataques que não dependem necessariamente de descobrir a senha e depois “quebrar” o segundo fator.
Eles tentam convencer o próprio usuário a concluir uma autenticação válida em benefício do atacante.
Tecnicamente, o sistema pode estar executando exatamente aquilo que recebeu como instrução.
O problema é que a vítima foi enganada sobre o que estava autorizando.
Depois da invasão, criminosos mapeiam toda a nuvem
Uma vez dentro da conta, os invasores não começam necessariamente a baixar tudo imediatamente.
A Microsoft observou uma fase estruturada de reconhecimento.
Utilizando o Microsoft Graph, os criminosos procuram descobrir quais recursos estão disponíveis para aquela identidade.
Entre as informações consultadas estão usuários, grupos, funções administrativas, métodos de autenticação registrados, aplicativos, permissões OAuth, sites do SharePoint, bibliotecas de documentos, pastas, arquivos e conteúdo de e-mail.
O Microsoft Graph é uma ferramenta legítima e fundamental para a integração de serviços Microsoft.
E é exatamente isso que dificulta a detecção.
Consultar usuários ou grupos por meio da API não é necessariamente comportamento malicioso. Aplicações corporativas fazem isso constantemente.
O sinal de perigo aparece quando diferentes ações são analisadas em conjunto.
O atacante tenta criar uma segunda chave da porta
Depois de obter o primeiro acesso, os criminosos procuram estabelecer persistência.
A Microsoft observou invasores adicionando novos métodos de MFA controlados por eles próprios, incluindo números de telefone, aplicativos autenticadores e tokens OTP baseados em software.
Essa etapa é crítica.
Imagine que a vítima descubra que sua senha foi comprometida e simplesmente a altere.
Se o atacante já conseguiu registrar outro método de autenticação e sessões ou tokens comprometidos continuarem válidos, uma troca isolada de senha pode não ser suficiente para remover completamente o acesso.
Por isso, a resposta a esse tipo de incidente precisa considerar toda a identidade.
SharePoint, OneDrive e e-mail entram na mira
Depois do reconhecimento, começa a coleta.
A Microsoft observou acesso sistemático a informações armazenadas no SharePoint Online e OneDrive for Business, além de conteúdo de e-mail no Exchange Online.
Em algumas invasões, o comportamento apresentava sinais claros de automação, incluindo o uso do python-httpx para realizar acessos programáticos.
Mas os criminosos aparentemente procuram evitar uma característica comum em ataques menos sofisticados: baixar uma quantidade gigantesca de informações de uma só vez.
O roubo pode acontecer devagar para parecer normal
Em vez de uma operação rápida de “smash and grab”, a Microsoft encontrou coleta distribuída ao longo de horas ou até dias.
Em geral, os atores mantinham o volume abaixo de 1.000 arquivos ou e-mails acessados em uma única hora.
A estratégia faz sentido.
Um usuário que normalmente baixa 20 documentos e repentinamente baixa 100 mil arquivos provavelmente acionará alertas.
Mas uma identidade que acessa documentos gradualmente pode se misturar melhor ao tráfego legítimo.
Isso mostra por que segurança moderna não pode depender apenas de limites simples de volume.
É preciso analisar contexto.
Uma conta comprometida pode abrir muito mais que o Microsoft 365
O risco aumenta quando a organização utiliza SSO.
A identidade corporativa pode funcionar como porta de entrada para dezenas de serviços diferentes.
Dependendo das integrações e permissões existentes, o comprometimento pode alcançar outras aplicações empresariais conectadas ao sistema de identidade.
Isso não significa que todo ataque automaticamente entrega acesso a todos os serviços da empresa. As permissões variam conforme a configuração de cada organização.
Mas uma identidade corporativa comprometida pode se transformar em uma chave extremamente valiosa.
ShinyHunters e Helix aparecem na investigação
A Microsoft atribui a atividade inicial observada a diferentes atores do mesmo ecossistema de extorsão.
Um deles é rastreado pela companhia como Storm-3121, relacionado a operações que levam a extorsões associadas a ShinyHunters e Falcon.
Outro é o Storm-3032, descrito pela Microsoft como um conjunto de atores que se separou do BlackFile e atualmente opera sob a marca Helix.
Portanto, é mais preciso dizer que a Microsoft relacionou as campanhas a atores que conduzem acessos iniciais para esses ecossistemas de extorsão do que simplesmente afirmar que “ShinyHunters e Helix criaram todos os ataques”.
O cenário atual do cibercrime possui afiliados, operadores de acesso inicial e grupos que compartilham ou reutilizam técnicas semelhantes.
Google já acompanhava atividade semelhante
A investigação também possui sobreposição com atividades acompanhadas pelo Google Threat Intelligence Group sob a designação UNC6671.
Em agosto, o Google relacionou esse cluster a ataques de engenharia social contra fundos de investimento, empresas de private equity e outras organizações financeiras.
O modus operandi apresentava semelhanças importantes: criminosos ligavam para funcionários fingindo ser integrantes do helpdesk e utilizavam temas relacionados a passkeys e MFA para conseguir acesso a contas corporativas na nuvem.
Isso reforça que não estamos diante de um golpe experimental isolado.
Passkeys continuam sendo uma defesa importante
Existe uma ironia nesse ataque.
Os criminosos usam passkeys como tema do phishing justamente quando passkeys resistentes a phishing estão entre as recomendações da própria Microsoft para dificultar ataques futuros.
A empresa recomenda a adoção de autenticação resistente a phishing, incluindo FIDO2/passkeys e Windows Hello for Business, combinada com políticas de Conditional Access.
Ou seja:
o golpe não prova que passkeys são inseguras.
Ele prova que criminosos perceberam que a implantação delas cria uma nova oportunidade de engenharia social.
Empresas precisam mudar a maneira como treinam funcionários
O velho treinamento de segurança dizia:
“Não clique em links estranhos.”
Isso continua válido, mas já não é suficiente.
O funcionário precisa entender que o suporte legítimo de TI não deveria pedir que ele execute procedimentos inesperados de autenticação por meio de um link recebido durante uma ligação não solicitada.
Uma abordagem mais segura é interromper o contato e procurar o suporte por um canal corporativo previamente conhecido.
Isso é especialmente importante quando a solicitação envolve:
cadastro de passkey;
alteração de MFA;
inserção de códigos;
aprovação de login;
instalação de aplicativo autenticador;
ou mudança das configurações de SSO.
Para equipes de segurança, trocar a senha pode não bastar
Quando uma conta já foi comprometida nesse tipo de campanha, a resposta precisa ir além de redefinir credenciais.
A Microsoft recomenda revogar sessões e refresh tokens, remover métodos de autenticação adicionados pelo invasor, verificar regras de caixa de correio criadas pelo atacante e exigir um novo cadastro seguro dos métodos de autenticação.
Também é importante revisar os registros de identidade, Microsoft Graph, SharePoint, OneDrive e Exchange como uma sequência relacionada.
Uma invasão pode parecer pouco relevante quando cada evento é analisado isoladamente.
Um login incomum.
Depois uma consulta ao Graph.
Depois alguns downloads.
Depois uma alteração no MFA.
Separadamente, os sinais podem passar despercebidos.
Juntos, contam uma história completamente diferente.
A engenharia social está acompanhando a evolução da autenticação
Quando empresas utilizavam apenas senhas, criminosos criavam páginas falsas para roubar senhas.
Quando o MFA se popularizou, surgiram ataques de MFA fatigue e phishing AiTM.
Agora que passkeys começam a ocupar espaço nas organizações, os criminosos estão incorporando passkeys ao roteiro de engenharia social.
É uma adaptação previsível.
O objetivo do atacante não é necessariamente derrotar matematicamente o mecanismo de segurança.
Às vezes, é muito mais simples convencer alguém de que está realizando uma atualização legítima.
A campanha revelada pela Microsoft deixa uma mensagem importante para empresas que estão modernizando seus sistemas de identidade: implantar uma tecnologia mais segura não encerra a disputa. Também é necessário preparar os funcionários para golpes que usam justamente essa nova tecnologia como argumento para conquistar sua confiança.
