Recentemente, a Microsoft revelou detalhes sobre duas campanhas de phishing que visam comprometer contas na nuvem e extrair dados. Os atacantes utilizam infraestrutura de e-mail de terceiros para disseminar mensagens fraudulentas de fraude financeira e empregam engenharia social com temas de passkey para invadir ambientes de nuvem.
A primeira campanha, ocorrida entre 3 e 5 de agosto de 2026, envolveu o envio de mais de um milhão de e-mails fraudulentos. Os criminosos se passaram por CEOs de diversas empresas, tentando convencer os departamentos financeiros a realizar transferências ACH para uma suposta assinatura anual do ServiceNow. A Microsoft observou que os atacantes usaram inteligência artificial para criar modelos de e-mail personalizados, focando principalmente em usuários corporativos nos EUA, em setores como TI, bens de consumo, imóveis e manufatura.
A segunda campanha, detectada desde maio de 2026, envolve intrusões em contas na nuvem, onde os atacantes adicionam seus próprios métodos de autenticação após logins suspeitos. Eles realizam atividades de alta intensidade no Microsoft Graph, downloads no SharePoint e OneDrive, e coleta de e-mails via APIs REST. A abordagem começa com engenharia social focada em identidade, onde os atacantes se passam por suporte técnico para induzir as vítimas a atualizar suas configurações de autenticação.
Os atacantes registram domínios falsos relacionados a passkeys e autenticação, incluindo o nome da organização-alvo como subdomínio. A Microsoft identificou que esses métodos estão associados a um coletivo de cibercrime conhecido como UNC6671, que opera várias marcas de extorsão pública. A persistência é mantida através do registro de métodos de autenticação sob controle dos atacantes, permitindo acesso contínuo às contas comprometidas.
Os invasores realizam reconhecimento interno usando a API Graph, inspecionam contas de alto valor e coletam dados extensivamente. A exfiltração de dados pode durar de horas a dias, dependendo do volume de informações coletadas.
Fonte:https://thehackernews.com/2026/09/attackers-use-passkey-phishing-to.html
Slug para SEO: ataques-phishing-contas-nuvem-microsoft
