A Microsoft descreve duas campanhas de fraude: facturas falsas e acesso à Microsoft 365 via passkeys

A Microsoft publicou análises técnicas sobre duas campanhas recentes que combinam engenharia social avançada e abuso de infra-estruturas legítimas para defraudar empresas e controlar contas na nuvem. De acordo com a empresa, os factos confirmados incluem uma enorme onda de e-mails fraudulentos que procurava transferências bancárias por ACH e uma campanha persistente de acesso a identidades corporativas através de cebos relacionados com passkeys e fluxos de autenticação. Depois explico o que aconteceu, como funcionam as táticas técnicas, quem ficam expostos, quais consequências reais podem ser decorrentes e quais passos concretos devem tomar empresas e empregados.

Atos verificados: A Microsoft reportou que entre 3 e 5 de agosto de 2026 foram enviados mais de um milhão de e-mails de fraude dirigidos a departamentos de contas por pagar, usando suplantação de altos executivos (CEO/CFO) e alegando facturas por uma suposta assinatura anual a ServiceNow. A empresa também documentou atividade desde maio de 2026 consistente em intrusões a ambientes Microsoft 365 onde atores registraram métodos de autenticação próprios, realizaram downloads em massa via Microsoft Graph e extraíram e-mail e arquivos do SharePoint/OneDrive.

Como funciona tecnicamente a fraude de facturas (campanha 1): os operadores registram domínios que parecem legítimos, constroem fios de e-mail falsos que incluem facturas e assinaturas de executivos reais e enviam mensagens através de serviços de entrega de correio de terceiros confiáveis para evitar filtros. A Microsoft indica que as mensagens foram concebidas para reduzir a suspeita: combinação de suplantação de diretores, marcas de fornecedor e conversas anteriores simuladas. Além disso, há evidências (segundo a Microsoft) do uso de ferramentas gerativas de IA para produzir modelos e textos personalizados em grande escala.

Como funciona tecnicamente a campanha de passkeys e acesso à nuvem (campanha 2): a primeira fase é pesquisa prévia: coleta de informações públicas sobre funcionários e estrutura organizacional. Depois vem a engenharia social direta por telefone ou SMS dirigida ao número pessoal do empregado, fazendo-lhe acreditar que vem do help desk para atualizar um passkey ou a configuração do SSO. As vítimas são redireccionadas a sites falsos que imitam a experiência de login da Microsoft; através de fluxos AitM (adversary-in-the-middle) ou device-code phishing o ator consegue que o usuário autorize o acesso ou complete um fluxo que permite ao atacante iniciar sessão sem roubar a senha diretamente. Após o acesso inicial, o ator registra métodos de MFA sob seu controle (número de telefone, app autenticadora ou token de software) para converter o acesso temporário em persistente e usar a API da Microsoft Graph para inventariar, baixar e exfiltrar dados com alta velocidade, rotando infra-estruturas e endereços IP para evitar deteções.

Quem é afectado: empresas medianas e grandes com presença em EE. Os EUA foram alvo da fraude de facturas, especialmente sectores como serviços TI, bens de consumo, imóveis e manufatura discreta. Na campanha de acesso à nuvem, as vítimas costumam ser usuários com papéis de negócios ou técnicos com acesso a recursos na Microsoft 365; a técnica é atraente para atores que buscam contas com direitos para SharePoint, OneDrive ou buzones com informações sensíveis.

Consequências reais: no primeiro caso, o risco é financeiro directo: autorização fraudulenta de transferências ACH e perda de fundos. No segundo, a ameaça é exfiltração de dados, espionagem corporativa e preparação de extorsão (dobre impacto: dados roubados e possível chantagem). Além disso, a persistência por métodos MFA controlados pelo atacante dificulta a recuperação e pode permitir movimento lateral dentro do tenant.

Aspectos ainda incertos ou estimativas: Embora a Microsoft atribui algumas atividades a atores rastreados como Storm-3121 e UNC6671 e sinaliza sobreposições com coletivos detectados pela comunidade, a relação exata entre grupos, afiliados e painéis de phishing compartilhados não está completamente confirmada publicamente. Também não há um número público consolidado de contas comprometidas na campanha de Graph; a Microsoft descreve padrões e casos, mas o alcance total do compromisso em organizações fora dos incidentes investigados pela empresa permanece estimado.

Medidas técnicas e organizacionais concretas (que devem fazer as empresas): implemente controlos de pagamento rigorosos: exigir verificação fora de banda (chamada a número conhecido) para alterações de beneficiários ou aprovações de pagamentos, exigir dupla assinatura em transferências ACH e reter fundos até à verificação. Aplicar políticas de autenticação reforçadas: bloquear o registo de novos métodos MFA sem aprovação administrativa, limitar a inscrição de phone-as-MFA por defeito e priorizar fatores com teste de posse hardware (FIDO2/Passkeys com attestation). Configure políticas de acesso condicional para restringir onde e como o MFA pode ser autorizado e desativado métodos de inscrição automática para contas com privilégios. Monitorize e correlacione atividade da Microsoft Graph: active alertas por padrões de descoberta em massa, downloads sustentados ou acessos de infraestrutura de proxy e trate as chamadas a Graph de forma agregada (comportamento, não apenas chamadas individuais). Use listas de bloqueio/monitorização de domínios que imitam fornecedores e configure regras de prevenção de phishing na passarela de correio e em Defender for Office 365. Revocar sessões e forçar reatenticação após detecção de mudanças em métodos de autenticação e fazer rotação de credenciais privilegiadas após incidentes.

Recomendações concretas para funcionários e departamentos de finanças: nunca autorizar transferências apenas por correio; se chegar uma factura ou um pedido urgente, confirmar pelo canal conhecido (teléfono corporativo verificado). Não siga links recebidos por SMS ou sinais urgentes anunciando “atualize seu passkey” sem verificar com a área de TI. Se receber uma chamada de help desk que pede mudança de MFA, pendurar e chamar o número interno oficial. Capacitação focalizada em vishing e verificação de assinaturas digitais e cabeçalhos do correio pode reduzir riscos.

Recursos úteis e leituras adicionais: Microsoft publica análise e mitigação em seu blog de segurança ( Microsoft Security Blog), e as agências públicas oferecem guias práticas sobre Business Email Compromise e estratégias de defesa contra phishing e abuso de identidade (ver, por exemplo, o guia da CISA sobre BEC https://www.cisa.gov/resources-tools/business-email-compromise). Para entender riscos e boas práticas sobre passkeys, o Centro Nacional de Cibersegurança do Reino Unido oferece uma introdução útil: https://www.ncsc.gov.uk/guidance/passkeys-beginners-guide.

Em síntese: estes incidentes mostram duas tendências convergentes: o uso de infraestrutura legítima e capacidade de entrega em escala para evitar controles de e-mail, e a sofisticação da engenharia social orientada a quebrar mecanismos de autenticação moderna. Para reduzir a probabilidade e o impacto dessas campanhas é necessária uma mistura de controles técnicos (bloqueios na inscrição de MFA, monitoramento de Graph, políticas de pagamento rigorosas) e processos humanos (verificação fora de banda e capacitação específica em vishing e phishing direcionado).