Descoberta de Nova Campanha de Phishing por Código de Dispositivo

Essa campanha de phishing não é um caso isolado, é o novo padrão operacional de atores como Storm-2372 e TA4903, que migraram do BEC tradicional para o fluxo de código de dispositivo OAuth 2.0 da Microsoft como vetor principal. O ataque descoberto em 12 de março de 2026 usa uma cadeia tática refinada: domínios de remetente comprometidos (BEC) entregam links para páginas falsas hospedadas em Cloudflare Workers, que copiam automaticamente o código de dispositivo gerado e redirecionam a vítima para microsoft.com/devicelogin. Lá, o usuário autoriza sem perceber o acesso ao Microsoft Graph, com tokens válidos por até 90 dias, mesmo após redefinição de senha. A infraestrutura do atacante consulta a API da Microsoft a cada 3 segundos, contornando a janela de expiração de 15 minutos do código original.

O uso de Cloudflare Workers não é acidental: mais de 60.000 links de phishing foram identificados com essa tecnologia em novembro de 2024, e o aumento de 104% no uso desse serviço para ataques entre 2023 e 2024 mostra que os invasores estão explorando sua facilidade de implantação, custo zero e capacidade de mascarar backends maliciosos. Diferentemente de phishing baseado em senhas, esse método evita MFA por design, porque a autenticação ocorre na página legítima da Microsoft, não em um clone falso.

Esse tipo de ataque coloca em risco diretamente a governança de identidade nas empresas. Tokens OAuth com escopo no Microsoft Graph permitem leitura de e-mails, contatos, calendários, pastas do SharePoint e até execução de comandos via Graph API, tudo sem disparar alertas típicos de login suspeito. Como o acesso persiste após redefinição de senha, equipes de resposta a incidentes frequentemente subestimam a gravidade ou falham ao conter a ameaça. Além disso, a combinação com BEC significa que o ataque começa com credibilidade organizacional pré-estabelecida: o e-mail vem de um colega, chefe ou fornecedor real, tornando a educação em segurança ainda menos eficaz se não for específica para esse cenário.