Uma nova e sofisticada tática de phishing está a colocar em risco as organizações, permitindo aos cibercriminosos invadir contas empresariais sem sequer roubar palavras-passe. Segundo um alerta emitido pela ESET, a campanha denominada EvilTokens encontra-se ativa desde fevereiro de 2026 e foca-se em manipular os próprios utilizadores para contornar os sistemas de segurança da Microsoft.
O grande perigo desta abordagem reside no facto de não depender de páginas de autenticação falsas, eliminando os sinais de alerta habituais que costumam proteger as vítimas. Ricardo Neves, Responsável de Comunicação da empresa de segurança em Portugal, sublinha que os piratas informáticos estão a explorar a confiança em processos legítimos, transformando os colaboradores em participantes involuntários do ataque e provando que a dependência exclusiva do roubo de credenciais é uma coisa do passado.
O mecanismo por trás da fraude
Ao contrário dos métodos tradicionais, os atacantes começam por fazer um reconhecimento prévio para confirmar se a conta do alvo se encontra ativa. Em seguida, enviam mensagens ou emails fraudulentos que imitam notificações diárias banais, como faturas, convites para reuniões ou documentos partilhados, com indicações simples como "Assinatura necessária". Quando a vítima clica na ligação, é direcionada para uma página que exibe um código de dispositivo gerado pelo atacante.
O fluxo explorado é o OAuth 2.0 Device Code, originalmente desenhado para facilitar a entrada em equipamentos onde digitar credenciais é uma tarefa complexa, como televisões inteligentes ou impressoras. A vítima é instruída a inserir o código no portal de autenticação genuíno. Ao fazê-lo, aprova inadvertidamente a sessão do criminoso. A partir desse momento, os atacantes obtêm tokens de acesso válidos para serviços críticos como o Outlook, Teams, OneDrive e SharePoint, passando completamente despercebidos, uma vez que a autenticação multifator (MFA) foi legitimamente validada pelo próprio utilizador.
Estratégias para proteger a infraestrutura
Perante uma ameaça que explora o contexto humano e não falhas tecnológicas diretas, a consciencialização é a primeira linha de defesa. Uma vez que o domínio visitado durante a inserção do código é verdadeiro e todo o processo de início de sessão funciona como esperado, as equipas técnicas precisam de adotar medidas proativas no lado da administração.
Para mitigar o risco, é fortemente recomendável desativar completamente o fluxo de código de dispositivo caso este não seja estritamente necessário no dia a dia da organização. A implementação de políticas de Acesso Condicional ajuda a limitar a utilização deste mecanismo apenas a contextos seguros. Adicionalmente, a monitorização constante de inícios de sessão suspeitos, ou a utilização anómala de tokens em equipamentos desconhecidos, é fundamental. Criar procedimentos ágeis para revogar sessões comprometidas de forma imediata garante que, mesmo que o utilizador seja enganado, o acesso indevido é cortado na raiz.
Nenhum comentário
Seja o primeiro!