Ataque de Phishing Abusa do Fluxo de Código de Dispositivo Microsoft com Redirecionamentos Legítimos

O ataque de phishing que explora o fluxo de código de dispositivo OAuth da Microsoft é uma evolução preocupante das táticas cibercriminosas. Este método não tenta enganar a vítima com um site falso. Em vez disso, ele a induz a interagir com páginas de login oficiais da Microsoft, contornando até mesmo a Autenticação Multifator (MFA). O truque está em fazer a vítima inserir um device_code legítimo, obtido pelos atacantes, em uma URL de verificação genuína da Microsoft.

A cadeia de ataque começa com iscas sofisticadas, como PDFs protegidos por senha. Após o usuário passar por um CAPTCHA (uma tática para evitar detecção por bots de segurança), ele é direcionado a uma página que exibe um código único. O usuário então cola este código em uma página de login legítima da Microsoft. Sem perceber, ele está autorizando o acesso de um dispositivo malicioso à sua conta. Uma vez concluída a MFA, os atacantes obtêm tokens de acesso e de atualização, garantindo acesso persistente a e-mails, arquivos do OneDrive e conversas do Teams.

A cobertura anterior do CEVIU News já apontava para a crescente ameaça do phishing por código de dispositivo. Em 12 de março de 2026, noticiamos a “Descoberta de Nova Campanha de Phishing por Código de Dispositivo”, que explorava o fluxo OAuth 2.0 da Microsoft com páginas falsas em Cloudflare Workers, imitando o Adobe Acrobat Sign. Em 4 de junho de 2026, o artigo “Phishing via Device Code na mira: como rastrear ataques de BEC na Microsoft” detalhou a escalada desses ataques em incidentes de Business Email Compromise.

O que a notícia atual mostra é uma adaptação e sofisticação das táticas. Agora, os criminosos usam redirecionamentos legítimos de domínios da Microsoft e Cacoo.com, tornando a detecção visual muito mais difícil. Além disso, a campanha atual tem um foco adaptado para usuários brasileiros, demonstrando a regionalização e personalização dos ataques.

Este tipo de ataque representa um desafio significativo para a segurança corporativa, principalmente por sua capacidade de burlar a Autenticação Multifator (MFA), vista como uma barreira robusta. A exploração do Device Code Flow da Microsoft permite que atacantes obtenham acesso persistente a dados sensíveis, mesmo com as melhores práticas de segurança de MFA em vigor. Para as empresas, isso significa que a confiança no domínio da Microsoft como um indicador de segurança não é mais suficiente.

Organizações precisam urgentemente reavaliar suas defesas. Desabilitar o Device Code Flow se não for essencial, monitorar ativamente eventos de DeviceCodeSignIn, e, crucialmente, treinar os usuários para jamais aprovar solicitações de código de dispositivo não solicitadas são medidas mandatórias. A persistência do acesso obtido com tokens de atualização torna a resposta a incidentes ainda mais complexa, exigindo uma detecção e remediação rápidas.