Um novo alerta emitido pelo FBI colocou equipes de segurança da informação e gestores de TI em estado de alerta máximo. Trata-se do Kali365, uma sofisticada plataforma de Phishing as a Service (PhaaS) identificada recentemente, cujo principal alvo é o ecossistema do Microsoft 365. O aspecto mais alarmante desta campanha é a sua metodologia: o ataque não rouba a senha dos usuários, mas utiliza engenharia social para obter controle total da conta de forma legítima aos olhos dos sistemas de segurança.
Como funciona a ameaça baseada em OAuth
Especialistas em segurança explicam que a ameaça captura tokens de acesso do Microsoft 365 para sequestrar sessões ativas, conseguindo contornar inclusive a Autenticação Multifator (MFA). Para alcançar esse objetivo, os cibercriminosos exploram um mecanismo legítimo da própria Microsoft: o fluxo de autenticação por código de dispositivo do OAuth.
No cenário típico do golpe, a dinâmica ocorre da seguinte forma:
- A vítima recebe uma comunicação falsa que simula ferramentas corporativas de colaboração ou compartilhamento de arquivos.
- O usuário é induzido a acessar uma página genuína da Microsoft e inserir um código numérico fornecido pelos criminosos.
- Ao realizar essa ação, a vítima voluntariamente autoriza o acesso externo, entregando tokens de acesso e atualização.
- Os atacantes ganham acesso irrestrito a e-mails no Outlook, mensagens no Teams, arquivos no OneDrive e dados no SharePoint.
O que isso significa para a sua empresa?
Para as empresas e gestores de TI, o avanço de ameaças como o Kali365 representa uma mudança crítica no paradigma de segurança. Como a técnica não dispara alertas tradicionais de força bruta ou tentativas de login suspeitas — afinal, o próprio usuário autorizou a sessão —, as defesas convencionais baseadas apenas em senhas e MFA padrão tornam-se insuficientes. O impacto nos negócios pode ser devastador, incluindo vazamento de propriedade intelectual, comprometimento de dados confidenciais de clientes, fraudes financeiras e danos severos à reputação corporativa.
Recomendações e Boas Práticas
Mitigar riscos associados a ataques de sequestro de sessão via OAuth exige uma postura proativa e camadas avançadas de governança de TI. Aqui estão as principais recomendações para proteger o seu ambiente corporativo:
- Auditoria de Aplicativos OAuth: Restrinja e monitore rigorosamente quais aplicativos de terceiros têm permissão para acessar os dados da organização no Microsoft 365.
- Treinamento de Conscientização: Eduque colaboradores sobre os perigos de inserir códigos fornecidos por terceiros em páginas de login, mesmo que pareçam oficiais.
- Políticas de Acesso Condicional: Implemente regras rígidas de acesso condicional no Azure AD/Entra ID para limitar o escopo de sessões e dispositivos autorizados.
- Monitoramento Contínuo (SIEM/SOC): Conte com equipes especializadas para analisar comportamentos anômalos em tempo real e identificar acessos atípicos a caixas de correio e arquivos na nuvem.
Em um cenário de ameaças cada vez mais silenciosas e tecnologicamente avançadas, contar com um suporte especializado em TI e soluções robustas de cibersegurança deixou de ser um diferencial e tornou-se uma necessidade vital. A equipe da AG2IT está preparada para auditar, blindar e gerenciar a infraestrutura tecnológica da sua empresa contra vetores modernos de ataque.
