Ataque de Phishing com Passkey Mira Contas Microsoft Cloud Corporativas

Atores de ameaça miram contas corporativas na nuvem da Microsoft com uma nova onda de ataques. Duas campanhas foram identificadas. A primeira, de fraude financeira, usou IA generativa para criar e-mails convincentes. Estes e-mails, que se passavam por CEOs, induziam departamentos financeiros a fazer transferências via ACH para uma suposta assinatura ServiceNow. Os golpistas usavam domínios falsos, faturas forjadas e conversas por e-mail para legitimar o esquema. A segunda campanha, mais sofisticada, foca em phishing temático de passkeys. Ela explora os fluxos de autenticação como Adversary-in-the-Middle (AitM) ou código de dispositivo. O objetivo é capturar credenciais ou garantir acesso a ambientes Microsoft Cloud, contornando o MFA.

Após o comprometimento inicial, os atacantes registram seus próprios métodos de autenticação multifator para manter a persistência. Isso permite acesso contínuo e discricionário às contas das vítimas. Com acesso garantido, eles usam o Graph API para reconhecimento, mapeando usuários, grupos e conteúdo. Em seguida, realizam exfiltração de dados em larga escala de serviços como SharePoint Online, OneDrive for Business e, em alguns casos, Microsoft Exchange Online. A operação se destaca pela pesquisa pré-ataque detalhada sobre a estrutura da organização, uso de domínios específicos para o alvo e rotação de infraestrutura para evitar detecção. Essa tática é consistente com grupos como Cordial Spider e UNC6671, que já exploravam infraestrutura de phishing compartilhada.

A grande novidade deste ataque está no disfarce. O tema de 'passkey' é a isca mais recente para uma técnica que o CEVIU News já cobre há meses. Em março e julho de 2026, por exemplo, detalhamos campanhas que exploravam o phishing com código de dispositivo para burlar o MFA. A evolução agora é o uso desse novo tema para convencer as vítimas a passarem por esses mesmos fluxos de autenticação de código de dispositivo ou AitM, visando o acesso à nuvem corporativa.

Outro ponto crítico de mudança é a busca por persistência. Enquanto ataques anteriores focavam em obter acesso inicial e temporário, esta campanha prioriza o controle de longo prazo. Após o comprometimento, os atacantes registram um novo método de MFA sob seu controle, seja um número de telefone ou um aplicativo autenticador. Isso lhes garante acesso contínuo e independente, mesmo que as vítimas redefinam suas senhas ou as sessões expirem, transformando uma brecha momentânea em uma presença duradoura na rede.

Este vetor de ataque representa um risco substancial para qualquer empresa que confia nos serviços Microsoft Cloud. A sofisticação da engenharia social, aliada à exploração de fluxos de autenticação legítimos, como o código de dispositivo, torna a detecção inicial extremamente difícil. A capacidade dos atacantes de burlar o MFA, que é a primeira linha de defesa contra acessos não autorizados, e depois estabelecer uma persistência duradoura, eleva o nível de perigo. Uma vez dentro, a exfiltração de dados e o comprometimento de sistemas críticos se tornam inevitáveis.

Ataques como este sublinham a necessidade de uma defesa em profundidade que vai além da prevenção inicial. Empresas precisam implementar monitoramento comportamental rigoroso, especialmente nas atividades do Graph API, para identificar padrões anômalos que indiquem reconhecimento ou exfiltração. Além disso, a conscientização dos usuários sobre táticas de engenharia social continua sendo uma linha de defesa vital, mas que precisa ser reforçada com controles técnicos que detectem e mitiguem o uso indevido de métodos de autenticação, mesmo os legítimos.