Tenho MFA Microsoft, estou seguro? A campanha que invadiu 94 empresas sem roubar uma senha

“Ativei a autenticação em dois fatores, então minha conta está protegida.” Essa frase é verdadeira o suficiente para a maioria dos ataques — e perigosa justamente por isso. Ela cria a sensação de que o assunto está resolvido. Uma campanha revelada agora mostra por que o segundo fator, sozinho, deixou de ser garantia.

Pesquisadores da Lexfo documentaram uma operação de phishing que está ativa há mais de um ano e já atingiu 218 alvos, dos quais 94 são contas corporativas em oito países — Austrália, Reino Unido, Estados Unidos, Suíça, Espanha, Polônia, Canadá e outros. O ponto que deveria tirar o sono de quem cuida de TI: o ataque nunca precisou descobrir uma senha.

Como se rouba uma conta sem roubar a senha

A maioria das pessoas imagina o roubo de conta assim: o criminoso descobre sua senha e entra. O MFA nasceu para quebrar exatamente esse roteiro — mesmo com a senha, falta o segundo fator (o código do app, a digital, a chave).

Esta campanha usa outro caminho. Em vez de perseguir a senha, ela persegue o resultado do login:

1. A vítima recebe um e-mail convincente e clica num link que leva a uma página que parece o login real da Microsoft — e em boa parte do fluxo é o login real, intermediado pelo atacante.
2. A vítima digita e-mail, senha e completa o segundo fator normalmente. Do ponto de vista dela, o login funcionou — porque funcionou mesmo.
3. Nos bastidores, o atacante fica no meio da conversa e captura o token de sessão que a Microsoft emite após o login bem-sucedido. Esse token é o “crachá” que diz “esta pessoa já se autenticou”.
4. De posse do crachá, o atacante entra como se fosse a vítima já autenticada — sem senha, sem pedir segundo fator, porque o segundo fator já foi cumprido.

É a diferença entre copiar sua chave e roubar você já dentro de casa. O MFA tranca a porta; o ataque não arromba a porta, ele entra junto com você e fica.

Por que isso é grave para a empresa, não só para a pessoa

O alvo preferido são contas corporativas — e não por acaso. Uma conta do Microsoft 365 comprometida é uma chave-mestra do dia a dia:

• E-mail e Teams: o atacante lê conversas, entende quem paga o quê, e se passa pelo funcionário para pedir transferências ou dados a fornecedores e ao financeiro.
• Regras de encaminhamento silenciosas: cria uma regra que copia e-mails para fora sem a vítima perceber, e continua espionando mesmo depois de a senha ser trocada.
• Ponte para o resto: o mesmo login abre SharePoint, OneDrive e dezenas de outros sistemas que usam “entrar com a Microsoft”.

E o token roubado sobrevive à troca de senha. Trocar a senha, o reflexo de todo mundo, não expulsa quem entrou com o crachá — enquanto a sessão não for revogada, o acesso continua de pé.

O que fazer — sabendo que “ter MFA” não é o fim da conversa

O recado não é “MFA não serve”. MFA continua sendo a medida de maior retorno que existe e todo mundo deve ter. O recado é que ele é o começo, não o ponto final. O que fecha o buraco desta campanha:

• MFA resistente a phishing. Nem todo segundo fator é igual. Código de SMS e código de app podem ser interceptados nesse tipo de ataque; já chaves de segurança físicas e passkeys (FIDO2) são atreladas ao endereço real do site e simplesmente não funcionam na página falsa. Para contas de alto risco (financeiro, TI, diretoria), essa troca é a defesa mais eficaz.
• Acesso condicional. O Microsoft 365 permite exigir que o login venha de um dispositivo conhecido ou de uma rede confiável. Um token usado de repente a partir de outro país ou de uma infraestrutura de VPN estranha deve ser barrado ou desafiado.
• Revogar sessão, não só trocar senha. Na suspeita de comprometimento, o passo que resolve é encerrar as sessões ativas (invalidar os tokens) e refazer o login — trocar a senha sem isso deixa a porta dos fundos aberta.
• Caçar as regras de encaminhamento. Auditar periodicamente regras de e-mail que mandam mensagens para fora é a forma de flagrar uma conta comprometida que ninguém notou.
• Treinamento com o alvo certo. O golpe se apoia na pressa e na página que parece legítima. O time precisa saber que completar o MFA numa página que veio de um link não é sinal de segurança — e, na dúvida, acessar o serviço digitando o endereço à mão, nunca pelo link do e-mail.

Fica a leitura que vale além deste caso: segurança não é uma caixa que se marca uma vez (“temos MFA ✓”) e se esquece. É uma linha que os atacantes contornam, e que precisa avançar junto. Quem parou de pensar no assunto no dia em que ativou o dois fatores parou cedo demais.

Fontes

• Lexfo — pesquisa original sobre a campanha (do diretório aberto ao operador de phishing): blog.lexfo.fr
• Microsoft — orientações sobre ataques adversary-in-the-middle (AiTM) e acesso condicional: learn.microsoft.com
• CISA — recomendações sobre MFA resistente a phishing (FIDO2/passkeys): cisa.gov