Uma campanha de phishing direcionada a mais de 340 organizações Microsoft 365 nos EUA, Canadá, Austrália, Nova Zelândia e Alemanha está ativa desde 19 de fevereiro de 2026, com novos casos surgindo num ritmo acelerado. A 6 de abril, o Microsoft Security Blog publicou uma análise detalhada da operação, que utiliza IA generativa e automação completa de ponta a ponta para comprometer contas de email empresariais numa escala que ataques anteriores de device code nunca alcançaram. Para equipas de marketing e crescimento que dependem do Microsoft 365 para operações diárias de email, a ameaça é direta: tokens roubados são usados para exfiltração de email e persistência, frequentemente através de regras de caixa de entrada maliciosas que redirecionam ou ocultam comunicações.
O Que Torna Este Ataque Diferente
Device Code Authentication é um fluxo OAuth legítimo concebido para dispositivos com interfaces limitadas, como smart TVs ou impressoras. Neste modelo, o utilizador recebe um código curto e é instruído a introduzi-lo num navegador noutro dispositivo para completar a autenticação. Atores maliciosos abusaram desta característica para contornar proteções MFA tradicionais, desacoplando a autenticação da sessão de origem.
O que diferencia esta campanha de 2026 de tentativas anteriores é a camada de IA. Esta campanha afasta-se de scripts estáticos e manuais, evoluindo para uma infraestrutura impulsionada por IA com múltiplas automações de ponta a ponta. A inovação técnica crítica é a geração dinâmica de códigos: em tentativas de phishing estáticas mais antigas, o ator malicioso incluiria um código pré-gerado no email, criando uma janela reduzida para sucesso. O utilizador direcionado precisava de abrir o email, navegar por redirecionamentos e completar a autenticação antes do temporizador padrão de 15 minutos expirar. Se o utilizador abrisse o email mesmo 20 minutos depois de enviado, o ataque falharia automaticamente.
A Geração Dinâmica de Códigos contorna a janela de expiração de 15 minutos ao desencadear a geração de código no momento exato em que o utilizador interage com a ligação de phishing, garantindo que o fluxo de autenticação permanece válido. Uma vez que uma vítima introduz o código na página legítima de login da Microsoft, a sessão do atacante herda as permissões do utilizador, contornando a MFA e alcançando acesso persistente.
Escala e Velocidade da Campanha
Os números são impressionantes. "Desde 15 de março de 2026, observámos 10 a 15 campanhas distintas a serem lançadas a cada 24 horas", disse Tanmay Ganacharya, Vice-Presidente de pesquisa de segurança da Microsoft, ao The Register. "Cada campanha é distribuída em larga escala, direcionando centenas de organizações com payloads altamente variados e únicos, dificultando a detecção baseada em padrões."
Construção, organizações sem fins lucrativos, imobiliário, manufatura, serviços financeiros, saúde, legal e governo estão entre os setores prominentemente direcionados. Nenhum setor está isento. A ferramenta por trás da campanha, EvilTokens, tem sido vendida como kit Phishing-as-a-Service desde meados de fevereiro de 2026, permitindo aos compradores contornar a MFA e autenticar-se silenciosamente como a vítima nas aplicações Microsoft 365 da organização.
De acordo com a empresa francesa de cibersegurança Sekoia, "EvilTokens fornece um kit de phishing de device code Microsoft completo e um conjunto de funcionalidades avançadas para executar ataques BEC, incluindo acesso à weaponização, recolha de email, capacidades de reconhecimento, uma interface de webmail integrada e automação alimentada por IA."
Como os Atacantes Direcionam Contas de Finanças e Executivos
A campanha não trata todas as contas comprometidas igualmente. Uma fase de reconhecimento ocorre tipicamente 10 a 15 dias antes do ataque de phishing real ser lançado. Os atacantes utilizam IA para criar emails de phishing hiperPersonalizados alinhados à função do alvo, com temas como pedidos de propostas, faturas e fluxos de trabalho de manufatura.
Para evitar scanners de URL automatizados e sandboxes, os atores maliciosos não estabelecem ligações diretas para o site de phishing final. Em vez disso, utilizam uma série de redirecionamentos através de domínios legítimos comprometidos e plataformas serverless de alta reputação. A Microsoft observou uma dependência pesada de Vercel, Cloudflare Workers e AWS Lambda para alojar a lógica de redirecionamento. Ao utilizar estes domínios, o tráfego de phishing mistura-se com o tráfego legítimo da nuvem empresarial, prevenindo acionadores simples de listas de bloqueio de domínios.
Após o comprometimento inicial, em alguns casos o intruso registou novos dispositivos dentro de 10 minutos para gerar um Primary Refresh Token para persistência a longo prazo. Noutros, aguardaram horas antes de roubar dados de email sensíveis ou criar regras de caixa de entrada, por exemplo, redirecionando mensagens com "payroll" ou "invoice" na linha de assunto.
A atividade após o comprometimento mostra um foco consistente em personas relacionadas com finanças, com exfiltração de email automatizada observada nessas contas, confirmou Ganacharya.
Por Que a MFA Padrão Não Para Este Ataque
Esta é a parte que surpreende a maioria das equipas. Este ataque colhe tokens de acesso Microsoft 365 sem exigir que as vítimas introduzam credenciais num site falsificado, tornando a interação de autenticação indistinguível de um sign-in genuíno. A autenticação multifator não fornece proteção: a vítima completa o desafio MFA em nome do atacante, e os tokens de atualização resultantes persistem mesmo após uma reposição de palavra-passe, complicando a remediação.
Ao contrário do roubo convencional de credenciais, esta técnica encaminha as vítimas através de páginas legítimas de autenticação da Microsoft, dificultando substancialmente a deteção do comprometimento em tempo real pelos centros de operações de segurança.
Este ataque representa uma escalada direta em relação à campanha Storm-2372 que a Microsoft documentou em fevereiro de 2025, que se baseava em engenharia social manual através de aplicações de mensagens e convites do Teams. A campanha de 2026 transita para automação industrializada e integração de IA em reconhecimento, geração de iscas, spinup de infraestrutura e exploração.
O Que as Equipas Empresariais Devem Fazer Agora
Métodos MFA resistentes a phishing, especificamente chaves de hardware FIDO2 e autenticação baseada em certificados, bloqueiam este ataque porque vinculam a autenticação ao dispositivo físico. Códigos TOTP padrão e notificações push não o fazem.
O Microsoft Security Blog e analistas independentes recomendam três ações prioritárias:
- Restringir fluxo de device code no Microsoft Entra ID. As políticas de Conditional Access podem bloquear o fluxo de autenticação de device code para utilizadores sem necessidade legítima de negócio.
- Monitorizar criação de regras de caixa de entrada após comprometimento. Microsoft Defender XDR e Entra ID Protection agora incluem deteções para autenticação de device code anómala, incluindo sign-ins suspeitos e criação de regras de caixa de entrada combinada com reconhecimento Graph API após comprometimento.
- Treinar equipas de finanças e executivos especificamente. Iscas específicas de função referenciando fluxos de trabalho reais, títulos de trabalho reais e contexto comercial plausível são uma categoria fundamentalmente diferente de ameaça em relação a phishing genérico. A formação de consciência padrão sozinha não é suficiente.
Para qualquer organização que execute Microsoft 365 como sua coluna vertebral de email, o impacto operacional de uma caixa de entrada comprometida vai muito além da perda de dados. Históricos de envio corrompidos, regras de encaminhamento manipuladas e threads de faturação sequestradas podem prejudicar a reputação do remetente e a entregabilidade durante meses. Tratar a segurança de email como um problema de identidade, não apenas um problema de filtragem de conteúdo, é agora um requisito crítico para o negócio.
