O ataque que domina serviços financeiros não rouba senhas: ele reseta MFA e rouba o token

28 de maio de 2026

Resumo

Relatórios da CrowdStrike, FBI e Verizon indicam que ataques a serviços financeiros ignoram o roubo de senhas, focando em resetar o MFA e registrar dispositivos de atacantes. O grupo Mutant Spider utiliza vishing no Microsoft Teams para enganar equipes de suporte. Plataformas como Kali365, um "phishing-as-a-service" de $250 mensais, capturam tokens OAuth do M365 via device code flow legítimo. O roubo direto de credenciais caiu para 13% dos vetores de acesso inicial em violações, atrás da exploração de vulnerabilidades (31%). Como o MFA dispara no dispositivo da vítima, os tokens capturados funcionam como credenciais, garantindo acesso silencioso por semanas ou meses, sem serem detectados por monitoramento de credenciais tradicional. Para defesa, é crucial exigir verificação "out-of-band" e chaves FIDO2 para todos os resets de MFA, restringir o device code flow via acesso condicional do Entra ID, monitorar o uso de "refresh tokens" OAuth de dispositivos desconhecidos e auditar o acesso à Graph API para operações em massa de sessões de reset ou device code.

Avalie este artigo:

Categoria: CEVIU Segurança da Informação
Publicado: 28 de maio de 2026
Fonte: CEVIU Segurança da Informação

Quer receber mais sobre CEVIU Segurança da Informação?