Uma nova campanha de phishing está a contornar as defesas habituais dos utilizadores e sistemas de segurança ao abandonar as tradicionais páginas falsas para utilizar o sistema legítimo de autenticação da Microsoft.
O alerta foi lançado pela empresa de cibersegurança Check Point Research, que identificou a exploração destas plataformas para obter acesso indevido a ambientes Microsoft 365 via ataques de phishing.
Entre 25 de junho e a segunda semana de julho, os investigadores detetaram mais de 200 emails de phishing dirigidos a utilizadores de cerca de 120 organizações em várias partes do mundo.
Como funciona este ataque de phishing?
A tática foca-se em criar um sentido de urgência corporativa. As vítimas recebem um email que imita uma notificação de Recursos Humanos enviada através do Microsoft Teams ou Microsoft Planner.
As mensagens indicam a existência de tarefas em atraso e fazem referências a atualizações de salários ou benefícios. Para aumentar a credibilidade, o remetente apresenta-se como “There’s New Activity On Team” e o endereço de origem parece pertencer à própria organização da vítima.
O grande diferencial desta campanha, e o motivo de perigo, é a autenticidade do portal de acesso. Ao clicar no link malicioso, a vítima é redirecionada para a página verdadeira de autorização da Microsoft (login.microsoftonline.com).
Após inserir as credenciais da conta no ambiente seguro, surge um pedido para que o utilizador conceda permissões a uma aplicação de terceiros.
Se o utilizador aprovar, um código de autorização (ou token) é enviado para uma infraestrutura controlada pelos atacantes, permitindo-lhes operar dentro do ambiente Microsoft 365 da vítima. A Check Point alerta que não existem os habituais sinais de perigo associados ao phishing, como domínios falsos ou certificados suspeitos.
Ao conseguirem autorização, os piratas informáticos podem aceder a um vasto leque de recursos corporativos. Dependendo das permissões concedidas, os atacantes podem ler e enviar mensagens a partir do email da vítima (facilitando ataques de Business Email Compromise), aceder a ficheiros confidenciais no OneDrive e SharePoint, extrair informações de conversas no Teams e aceder aos calendários.
Os dados recolhidos indicam que 98,3% das organizações visadas e com localização identificável encontram-se na América do Norte. No que diz respeito aos setores de atividade, a indústria foi a mais afetada (19,3%), seguida pelos serviços jurídicos e profissionais (13,9%) e por organizações sem fins lucrativos (10,9%). O setor público (8,9%) e a saúde (6,9%) também se encontram entre os alvos.
Apesar de esta campanha específica já não estar ativa, ilustra a crescente sofisticação das ameaças informáticas. Para mitigar estes riscos, os especialistas recomendam:
- Verificação cuidada: Confirmar sempre o destino dos links e a coerência entre o nome do remetente, o email e o contexto da mensagem;
- Acesso direto: Em caso de dúvida sobre uma notificação, o utilizador deve abrir o Microsoft Teams ou a respetiva aplicação diretamente através do programa oficial, e não através de links no email;
- Reportar anomalias: Qualquer mensagem suspeita deve ser comunicada imediatamente às equipas de segurança informática para que a aplicação maliciosa seja bloqueada e os consentimentos revogados.
Sobre o autor
Aproveite a campanha:
