Por que atacantes ainda conseguem ler e-mails no M365 mesmo após a revogação de sessão

O acesso ao Exchange Online passa sempre pelo Entra. Depois da autenticação, o usuário recebe um access token (válido por 60 a 90 minutos, usado direto na caixa de correio) e um refresh token (renovável por até 90 dias). O desenho poupa o Entra de participar de cada interação. A análise do labs.eye.security compara o refresh token a um TGT do Active Directory tradicional e o access token a um service ticket.

A revogação de sessão atualiza o timestamp StsRefreshTokenValidFrom, o que invalida refresh tokens emitidos antes dele. O access token em circulação, porém, segue valendo até expirar. O Continuous Access Evaluation (CAE) tenta fechar essa brecha checando, por exemplo, o IP a cada acesso, mas quebra usos normais, como ler e-mail no celular em redes que mudam o tempo todo. Por isso costuma ficar desligado. Já a avaliação de eventos críticos (CEE) fica sempre ativa e avisa Exchange Online, SharePoint Online e Teams quando sessões são revogadas, senhas trocadas ou contas desabilitadas.

Na prática, os clientes Outlook (clássico, moderno e mobile) e até conexões IMAP abertas perdem acesso rápido. Graph API, EWS e Exchange ActiveSync continuam funcionando com o token já emitido. Só desabilitar a conta bloqueia todos os métodos de acesso ao e-mail. Se a conta for reabilitada, tokens antigos ainda não expirados voltam a funcionar, então a conta deve ficar desabilitada por 90 minutos após a emissão do último access token. Outro efeito: a CEE cobre poucos serviços, e o mesmo token ainda consulta usuários no Entra via Graph, sem como bloquear isso hoje.

O CEVIU já vinha mostrando que revogar token não encerra o problema. Em 22 de setembro de 2026, noticiou "Revogação de token ineficaz contra backdoors persistentes na nuvem", e em 24 de setembro de 2026, "Revogação de token é insuficiente contra backdoor persistente ligado ao grupo Webworm", sobre o GraphWorm, que usa o Microsoft Graph. Em 28 de setembro de 2026 e 26 de outubro de 2026, a cobertura tratou do abuso de tokens OAuth que sobrevivem à troca de senha e ao MFA. A análise atual acrescenta o mecanismo de fundo: mesmo sem implante ou consentimento OAuth malicioso, o access token já emitido continua válido por até 90 minutos nas APIs.

Para quem opera resposta a incidentes em M365, a leitura é que revogar sessão e resetar senha não bastam quando o atacante usa kits automatizados via Graph API. Desabilitar a conta, mesmo travando o usuário por um tempo, passa a ser o passo que garante o corte, e vale entrar no playbook com a janela de 90 minutos. Também convém assumir que e-mail pode ter sido lido nesse intervalo.