Como funciona esse novo golpe contra contas Microsoft?

A Kaspersky identificou uma campanha de phishing em circulação no Brasil que sequestra contas corporativas da Microsoft sem precisar roubar senhas. O ataque explora um recurso legítimo da Microsoft usado para vincular novos dispositivos a uma conta empresarial.

Qual é o passo a passo do golpe?

Tudo começa com um e-mail de phishing com assunto urgente — como um orçamento pendente ou um pedido de compra. A mensagem traz um PDF ou um link hospedado em um site legítimo, usado apenas como intermediário para redirecionar a vítima a uma página falsa criada pelos criminosos.

Nessa página, aparece um aviso de que o documento está protegido e que a visualização exige um código de validação, exibido logo abaixo. A vítima acredita que esse número serve apenas para desbloquear o PDF.

Quando a conta é sequestrada?

Enquanto a vítima está na página falsa, o criminoso inicia em segundo plano uma solicitação legítima de vinculação de dispositivo na Microsoft. A Microsoft gera automaticamente um código de autorização para essa solicitação — e é exatamente esse código que a página falsa exibe ao usuário. Ao digitá-lo no portal oficial da Microsoft, o funcionário autoriza sem perceber que um dispositivo desconhecido acesse sua conta corporativa.

O pesquisador-líder de segurança da Kaspersky, Fabio Marenghi, afirma que o principal risco da campanha está em explorar a boa-fé do usuário por meio de um recurso de conveniência comum em ambientes corporativos, normalmente usado para validar acesso a aplicativos de trabalho por código.

Como se proteger?

  • Recuse qualquer solicitação de autorização para conectar um novo dispositivo se você não iniciou um login naquele momento.
  • Documentos legítimos, como faturas ou comprovantes enviados por bancos, nunca exigem código de validação para serem visualizados.
  • Reporte e-mails suspeitos imediatamente ao time de TI ou segurança da sua empresa.
  • Revise periodicamente os dispositivos vinculados à sua conta Microsoft.
Pontos-chave:
  • Golpe identificado pela Kaspersky e detalhado no Securelist.com.
  • Nenhuma senha é roubada — a própria vítima autoriza o acesso.
  • Os atacantes assumem controle de e-mails, arquivos no SharePoint e conversas no Teams.
  • A página falsa exibe um código de autorização real gerado pela Microsoft em segundo plano.
  • Pesquisador citado: Fabio Marenghi, Kaspersky Brasil.