Novo golpe no Brasil rouba acesso a contas Microsoft sem usar sua senha

Um novo golpe digital em circulação no Brasil permite a cibercriminosos invadirem contas corporativas sem precisar roubar senhas. A fraude engana o funcionário para que ele mesmo autorize, sem perceber, a conexão de um dispositivo desconhecido à sua conta da Microsoft. A tática foi identificada pela Kaspersky.

Com esse acesso, os golpistas passam a controlar e-mails, arquivos armazenados no SharePoint e conversas no Teams. A técnica foi detalhada pela empresa de cibersegurança em análise publicada no Securelist.com.

Como o golpe começa

A fraude parte de um e-mail de phishing com assunto urgente, como um orçamento pendente ou um pedido de compra.

A mensagem traz um PDF ou um link hospedado em um site legítimo, usado apenas como intermediário para redirecionar a vítima a uma página falsa criada pelos criminosos.

Nessa página, aparece um aviso de que o documento está protegido e que a visualização exige um código de validação, exibido logo abaixo. A vítima acredita que esse número serve apenas para destravar o PDF.

O momento em que a conta é sequestrada

Enquanto a vítima está na página falsa, o criminoso inicia, em segundo plano, uma solicitação legítima de acesso à conta corporativa da Microsoft, simulando a configuração de um novo dispositivo.

A Microsoft gera automaticamente um código de autorização para essa solicitação, e é exatamente esse código que a página falsa exibe para o usuário.

Ao digitar o número na página oficial de login da Microsoft, a vítima autoriza sem saber a vinculação de um dispositivo estranho à própria conta. Segundo a Kaspersky, o funcionário acredita estar realizando uma validação de rotina, sem perceber que está entregando o acesso do sistema corporativo a um criminoso.

O pesquisador líder de segurança da Kaspersky, Fabio Marenghi, afirma que o principal risco da campanha está em explorar a boa-fé do usuário por meio de um recurso de conveniência comum em ambientes corporativos, usado normalmente para validar o acesso a aplicativos de trabalho por código.

Para ele, o funcionário pensa estar apenas liberando a visualização de um conteúdo confidencial, sem notar que está entregando a chave de acesso da empresa a um dispositivo controlado por terceiros.

Como o usuário pode se proteger

Qualquer pedido de autorização para conectar um novo dispositivo deve ser recusado quando não partiu de uma tentativa de login feita pelo próprio usuário naquele momento.

Documentos legítimos, como faturas ou exames enviados por bancos e laboratórios, costumam pedir senhas já conhecidas pelo destinatário, como o CPF, e não códigos digitados em páginas externas.

Em caso de dúvida sobre a origem de um link, o mais seguro é digitar o endereço oficial do serviço diretamente no navegador, em vez de clicar em mensagens recebidas por e-mail.

Vale também observar o link completo antes de clicar, prestando atenção a parâmetros como "redirect_uri", "return_url" ou "next", que podem redirecionar para páginas maliciosas mesmo partindo de um domínio confiável.

Depois que a página abrir, é importante conferir se o endereço final corresponde ao site esperado antes de inserir qualquer credencial.

Medidas recomendadas para empresas

A Kaspersky recomenda que as empresas configurem alertas para identificar logins realizados por código de dispositivo e tentativas de acesso fora do padrão.

A adoção de soluções de segurança capazes de filtrar mensagens maliciosas e bloquear links de phishing antes que cheguem aos funcionários também é indicada como barreira adicional contra esse tipo de ataque.

{{WHATSAPP_CHANNEL}}