Alerta de Segurança: Grupo PREY-0058 usa chamadas de TI falsas para roubar dados do Microsoft 365 e extorquir empresas

O grupo cibercriminoso PREY-0058 está usando uma tática alarmante de engenharia social para roubar dados de empresas que usam Microsoft 365. Eles realizam chamadas fraudulentas, vishing, se passando por suporte técnico para induzir executivos a acessarem domínios falsos. Estes domínios são projetados para capturar credenciais e aprovações de Autenticação Multifator (MFA), além de tokens de sessão.

Após o acesso inicial, o PREY-0058 reutiliza esses tokens em ataques de "session replay", usando proxies residenciais para simular acesso legítimo e mapear ambientes como SharePoint e Entra ID. O objetivo final é a exfiltração em massa de dados confidenciais de serviços como SharePoint, OneDrive, Exchange e Box, seguida por exigências de extorsão. Empresas dos setores de construção, saúde, imobiliário, finanças e serviços profissionais estão entre os alvos.

A ação do PREY-0058 mostra uma evolução nas táticas de vishing já abordadas pelo CEVIU News. Em 2 de setembro de 2026, noticiamos campanhas de phishing de voz via Microsoft Teams, onde criminosos se passavam por suporte técnico para obter acesso. Agora, com o PREY-0058, o foco se aprofunda na exploração pós-acesso. Eles não só roubam credenciais e MFA, mas utilizam técnicas de adversary-in-the-middle (AitM) para obter tokens de sessão.

Em seguida, os atacantes reexecutam esses tokens por meio de proxies residenciais, o que torna a detecção mais difícil, e realizam uma exfiltração massiva e direcionada de dados do Microsoft 365 para posterior extorsão. É uma sofisticação na cadeia de ataque, do acesso inicial ao roubo de dados, evidenciando como essas ameaças estão se tornando mais furtivas e destrutivas.

Este tipo de ataque é particularmente perigoso porque visa diretamente executivos, que geralmente têm acesso a informações sensíveis. A reexecução de tokens por proxies residenciais também dificulta a detecção pelas ferramentas de segurança tradicionais. A ausência de malware e o uso de infraestrutura legítima para o "session replay" permitem que o PREY-0058 atue de forma discreta, contornando defesas.

Isso reforça a necessidade de as empresas investirem em detecção de anomalias no uso de tokens, políticas de acesso condicional robustas e treinamento contínuo para conscientizar os funcionários, especialmente a liderança, sobre riscos de engenharia social. A proteção proativa é a melhor defesa contra ataques que exploram a confiança e as vulnerabilidades humanas.