Ataques OAuth miram tokens de acesso e contornam MFA, aponta Unit 42

O relatório da Unit 42 parte de um ponto simples: o ataque acontece na camada de autorização, depois que o usuário já se autenticou. A vítima passa pelo IdP legítimo e completa o MFA. O que o atacante leva é o access token e o refresh token. Como o token não é senha, ele sobrevive a redefinições, e o refresh token pode gerar novos access tokens por dias ou meses, até alguém revogá-lo de forma explícita.

A Unit 42 separa as campanhas em três categorias: sequestro de conta (device code phishing e roubo de authorization code via apps legítimos), sequestro de permissão (telas de consentimento com nomes vagos, como "Security App", ou que imitam marcas) e redirecionamento malicioso (abuso de redirect_uri para levar a vítima de um domínio legítimo de IdP a páginas dos criminosos). Segundo o relatório, uma campanha documentada pela Microsoft em março de 2026 forçava erros de autenticação, combinando prompt=none com parâmetros que exigem interação, para que o IdP redirecionasse o navegador automaticamente ao destino malicioso. O texto também cita falhas em arquiteturas OAuth-as-a-service, como Cross-Tenant Client ID Confusion. O relatório não informa o número de vítimas. Entre as defesas estão aprovação de apps só por administradores, auditoria contínua dos redirect_uri registrados e monitoramento de device codes colados de fontes não confiáveis.

O tema vem sendo acompanhado pelo CEVIU ao longo de 2026. Em 27 de março de 2026, o CEVIU noticiou "Phishing com Código de Dispositivo Afeta 340+ Organizações usando Microsoft 365, MFA Bypass por Abuso de Token", sobre uma campanha ativa. Em 6 de abril de 2026, vieram "Phishing está migrando para OAuth" e "Ataques de Phishing de Código de Dispositivo Disparam 37x com Novas Ferramentas se Espalhando Online", que citava crescimento de 37,5 vezes em 2026. Em 14 de julho de 2026, o CEVIU publicou sobre o abuso do fluxo de código de dispositivo da Microsoft com redirecionamentos legítimos, e em 28 de setembro de 2026, sobre abuso de token OAuth que persiste após redefinição de senha e MFA.

A novidade da análise da Unit 42 é o enquadramento: ela organiza esses casos em três categorias e acrescenta detalhes de infraestrutura dos kits de PhaaS, como tokens anti-bot reaproveitados entre campanhas, payloads AES-GCM em Cloudflare Workers e iscas geradas por LLM.

Para quem opera identidade e segurança de nuvem, a leitura é que trocar a senha e reinscrever o MFA não encerra o incidente. Resposta a incidente precisa incluir revogação de tokens e de grants. Controlar o consentimento (aprovação por admin) e revisar redirect_uri passa a ser tão rotineiro quanto política de senha. O próprio relatório diz que OAuth é usado em volume menor que o phishing tradicional, mas com consequências mais graves.