Alerta Crítico: Phishing Avançado Via RingCentral Visa Contas Microsoft 365

A nova campanha orquestrada pela plataforma Greatness representa uma escalada preocupante em ataques de phishing. O ponto central é o uso inteligente da plataforma RingCentral, uma ferramenta de comunicação legítima, para enganar vítimas. Os cibercriminosos simulam alertas de correio de voz ou revisão de desempenho, induzindo o clique. A astúcia reside em contornar as defesas de e-mail ao explorar listas de remetentes seguros, mesmo quando as verificações SPF, DKIM e DMARC falham. Um nível de confiança de spam (SCL) de -1 no Microsoft Exchange permite que essas mensagens cheguem à caixa de entrada.

Ao clicar nos links maliciosos, as vítimas são direcionadas a uma infraestrutura adversária no meio (AiTM), ou via phishing de código de dispositivo. Isso permite o roubo de tokens de autenticação aprovados por MFA, concedendo aos atacantes acesso persistente a contas Microsoft 365. Eles podem então enumerar caixas de correio do Outlook, conversas do Teams, sites do SharePoint e arquivos do OneDrive, com o acesso podendo durar semanas. Há uma suspeita de que a recente violação de dados da RingCentral, divulgada em 28 de julho de 2026, possa ter fornecido listas de alvos válidos para esta campanha, embora a conexão não seja confirmada.

O CEVIU News vem acompanhando a evolução do phishing de código de dispositivo e ataques AiTM, como nas notícias de 14 de julho e 24 de julho de 2026, sobre o abuso do fluxo de código de dispositivo da Microsoft e o bypass de MFA. A novidade agora é a sofisticação da plataforma Greatness, que não só adota esses vetores, mas os integra a uma tática de bypass de segurança de e-mail sem precedentes. A campanha explora as listas de remetentes seguros de domínios como o RingCentral, um truque que neutraliza as defesas padrão de autenticação de e-mail como SPF, DKIM e DMARC, permitindo que e-mails maliciosos atinjam as caixas de entrada.

A Greatness evoluiu de simples roubo de credenciais para incorporar AiTM e phishing de código de dispositivo, mostrando uma adaptação rápida dos operadores de PhaaS. Isso adiciona uma camada de complexidade aos ataques que já havíamos detalhado em março, abril e maio de 2026. A conexão especulada com a violação de dados da RingCentral é outro elemento novo, sugerindo que os cibercriminosos estão explorando violações de dados legítimas para refinar suas campanhas de phishing e direcionar usuários de serviços específicos.

Esta campanha é um alerta crítico sobre a eficácia de defesas tradicionais. Mesmo com MFA ativada, a combinação de AiTM e phishing de código de dispositivo, aliada ao bypass de filtros de e-mail por meio de whitelisting, torna a detecção e prevenção extremamente difíceis. Organizações precisam revisar suas políticas de segurança de e-mail, especialmente as listas de remetentes seguros, substituindo exclusões genéricas por regras que exijam autenticação de e-mail rigorosa.

A persistência do acesso e a capacidade de exfiltrar dados por semanas após o comprometimento sublinham a importância de monitorar logins MFA anômalos e atividades suspeitas pós-autenticação. Administradores devem estar prontos para revogar tokens imediatamente e auditar consentimentos OAuth. A cada nova evolução, as empresas precisam endurecer suas posturas de cibersegurança, adotando uma abordagem multicamadas e proativa para proteger contas e dados críticos.