Alerta de Segurança: Atacantes Abusam de Falsos Client IDs OAuth para Ataques de Enumeração no Microsoft Entra ID

Atacantes agora usam um truque bem sofisticado no Microsoft Entra ID, o antigo Azure AD. Eles forjam o ID de cliente OAuth em requisições ROPC-flow para `/common/oauth2/token`. Este método permite testar usernames e senhas sem que o sistema registre um login bem-sucedido ou gere alertas visíveis.

A tática se aproveita de códigos de erro específicos, como AADSTS50034 para usuário inválido ou AADSTS50126 para senha errada. O mais preocupante é o AADSTS700016. Ele indica um par de usuário/senha válido, mesmo com o Client ID falsificado. Isso engana a segurança, já que o log de acesso não mostra o nome da aplicação. Assim, os atacantes coletam dados importantes sem levantar suspeitas.

O CEVIU News já havia noticiado, em 16 de julho de 2026, sobre ataques de spoofing de ID OAuth para testes furtivos de credenciais. Naquela ocasião, tratava-se de um alerta geral sobre a técnica emergente. Agora, a Proofpoint confirma e detalha a extensão do problema com campanhas massivas observadas em campo. Vimos a confirmação de que esta tática realmente escalou. As campanhas UNK_pyreq2323 e UNK_OutFlareAZ mostram que vários grupos já dominam a técnica. Elas miraram milhões de contas, usando infraestruturas robustas como AWS e Cloudflare.

As diferenças nas campanhas também são notáveis. Enquanto a UNK_pyreq2323 modificava dígitos de um ID conhecido, a UNK_OutFlareAZ gerava um UUIDv4 único por tentativa. Esta evolução na técnica demonstra o amadurecimento das ameaças. Isso aponta para uma adoção disseminada e sofisticada do Client ID spoofing no cenário de cibersegurança.

Para empresas e governos, este ataque representa um risco sério. A validação furtiva de credenciais facilita ataques de força bruta e comprometimento de contas. Tudo isso sem disparar as defesas tradicionais. Equipes de segurança precisam reajustar suas estratégias de monitoramento. Ficar atento a entradas de log sem nome de aplicação ou com IDs em branco é fundamental. Considerar o erro AADSTS700016 como um possível indício de credencial comprometida é um passo crucial.

Esta ameaça mostra a necessidade de uma defesa em profundidade. As organizações devem ir além da detecção baseada em sucesso de login. É preciso analisar os erros e o comportamento de requisições maliciosas. Isso ajuda a proteger o ambiente de nuvem de forma mais eficaz.