A Sophos publicou ontem (18/10) o relato de um caso investigado pela sua equipe de resposta a incidentes. Um atacante usou vishing, um golpe em que a vítima é enganada por ligação telefônica, para se passar por técnicos do help desk e convencer um funcionário a informar o código de verificação enviado por SMS. Com esse código, ele redefiniu a senha da conta corporativa na Microsoft 365, pelo recurso de recuperação de senha autoatendido, sem precisar de página falsa, malware ou pedido de permissão em aplicativo.

Depois de trocar a senha, o invasor registrou um computador Windows novo na conta e passou a usar um token de sessão ligado a esse dispositivo. Isso funciona como uma chave que mantém o acesso ativo sem pedir login de novo, e a partir daí ele entrou em outras plataformas usadas pela empresa, como Salesforce e ServiceNow, por login federado. Em outras palavras, uma única conta comprometida abriu a porta para vários sistemas.

O impacto mais grave envolveu arquivos. O invasor acessou mais de 100 e-mails, incluindo caixas compartilhadas, e baixou cerca de 100 mil arquivos do SharePoint. Ele também pesquisou termos como senha, credenciais, dados pessoais e nomes de fornecedores de autenticação. No ServiceNow, exportou a lista de usuários, com cerca de 2.500 registros. Já no Salesforce, a própria plataforma detectou o comportamento suspeito, bloqueou a conta e avisou o administrador. O caso também mostra que a Microsoft não registra quando alguém apenas lê mensagens de Teams a que já tem acesso, o que deixa esse tipo de espionagem sem rastro. Por fim, o invasor apagou o e-mail em que a própria empresa avisava sobre as ligações golpistas, para que a vítima não visse o alerta.

As recomendações da Sophos começam pela recuperação de senha, que costuma ser menos protegida que o login. A ideia é priorizar métodos resistentes a phishing, como chaves de segurança FIDO2, passkeys e Windows Hello, e restringir ou remover o código por SMS. Também sugere exigir autenticação em dois fatores para registrar novos dispositivos, revogar sessões e tokens em todas as plataformas conectadas e monitorar exportações em massa de tabelas de usuários. Para os funcionários, vale a regra simples de que a equipe de suporte legítima nunca pede código de verificação por telefone. Como o texto é de um fornecedor de segurança, que também cita os próprios produtos, convém tratar essa parte como divulgação, mas as orientações gerais valem para qualquer empresa.