Ataque de password spray à Azure CLI compromete dezenas de contas corporativas em nuvem

O OAuth é um protocolo de autorização, não de autenticação, ou seja, ele delega permissão para acessar recursos em nome de um usuário, mas não valida quem é esse usuário. O ataque ao Azure CLI explorou justamente uma falha estrutural: o fluxo Resource Owner Password Credentials (ROPC), que foi depreciado no OAuth 2.1 por exigir que aplicações recebam credenciais em texto puro e as enviem diretamente ao servidor de autorização, sem passar pelo endpoint onde as políticas de Conditional Access são aplicadas. Isso cria uma brecha operacional crítica: mesmo com MFA habilitado, se a política não cobre 'todos os tipos de cliente', incluindo ferramentas como a Azure CLI, o ROPC ignora totalmente o controle.

Para equipes de governança de identidade, isso significa que ter MFA ativo não é suficiente. O que importa é *como* o MFA é acionado: se está configurado apenas para apps web ou para 'usuários administradores', ele falha silenciosamente contra ataques automatizados que usam clientes nativos, scripts ou CLIs. A lição técnica não é sobre desativar o Azure CLI, mas sobre restringir seu uso a perfis privilegiados, exigir MFA para todos os tipos de app (não só web), e desabilitar o ROPC em ambientes corporativos, algo possível via Azure AD App Registration > Authentication > 'Disable legacy auth flows'.

A cobertura CEVIU de 3 de julho já havia destacado o ataque e a ligação com o ROPC, mas não detalhava a evolução operacional: agora sabemos que o volume de tentativas disparou após 22 de junho (30 contas comprometidas em um único dia), indicando que os atacantes refinaram listas de credenciais com base em vazamentos anteriores e ajustaram a taxa de spray para evitar bloqueios por limite de falhas. Também há confirmação de que oito das 64 organizações afetadas tinham zero política de MFA, um retrocesso que contrasta com a maioria, que tinha MFA mal configurada, não inexistente.

Esse ataque expõe um risco sistêmico em arquiteturas de nuvem: a governança de identidade ainda é tratada como 'configuração inicial', não como ciclo contínuo de validação. Políticas de Conditional Access são frequentemente implantadas com escopo restrito ('só pra SharePoint', 'só pra admins') por medo de quebrar workflows legados, mas isso transforma o Azure CLI em porta de entrada privilegiada para invasores. Para CIOs e CISOs, o custo de revisar e ampliar o escopo dessas políticas é mínimo comparado ao impacto de uma única conta comprometida com permissões de Contributor ou Owner em assinaturas críticas.