Um novo e perigoso golpe digital está circulando no Brasil, permitindo que cibercriminosos invadam contas corporativas da Microsoft sem a necessidade de roubar senhas. A tática, identificada pela Kaspersky, explora a boa-fé dos funcionários, induzindo-os a autorizar, sem perceber, a conexão de um dispositivo desconhecido às suas próprias contas. Com esse acesso indevido, os golpistas conseguem controlar e-mails, arquivos armazenados no SharePoint e conversas no Teams, representando uma grave ameaça à segurança de dados das empresas.
Como o Golpe Opera: A Enganação do Código de Validação
A fraude tem início com um e-mail de phishing cuidadosamente elaborado, geralmente com um assunto urgente e apelativo, como um orçamento pendente ou um pedido de compra. A mensagem pode conter um arquivo PDF malicioso ou um link que, embora possa parecer hospedado em um site legítimo inicialmente, serve apenas como intermediário para redirecionar a vítima a uma página falsa criada pelos criminosos. Nesta página fraudulenta, surge um aviso informando que o documento está protegido e que sua visualização exige um “código de validação”, exibido logo abaixo. A vítima, acreditando estar apenas destravando o conteúdo, insere o número sem desconfiar da verdadeira intenção.
O Momento Crítico: Autorizando o Acesso Indevido
Enquanto o funcionário está na página falsa, os cibercriminosos agem em segundo plano, iniciando uma solicitação legítima de acesso à conta corporativa da Microsoft, simulando a configuração de um novo dispositivo. A Microsoft, então, gera automaticamente um código de autorização para essa solicitação – e é exatamente esse código que a página falsa exibe para o usuário. Ao digitar esse número na página oficial de login da Microsoft, a vítima, sem saber, autoriza a vinculação de um dispositivo estranho à sua própria conta. Segundo Fabio Marenghi, pesquisador líder de segurança da Kaspersky, o principal risco da campanha reside em explorar um recurso de conveniência comum em ambientes corporativos, fazendo com que o funcionário pense estar apenas liberando a visualização de um conteúdo confidencial, quando na verdade está entregando as chaves de acesso da empresa a terceiros.
Proteja-se: Dicas Essenciais para Usuários
- Recuse Solicitações Inesperadas: Qualquer pedido de autorização para conectar um novo dispositivo deve ser recusado se não partiu de uma tentativa de login iniciada por você naquele exato momento.
- Atenção aos Códigos: Documentos legítimos de bancos ou laboratórios geralmente pedem senhas já conhecidas (como CPF), e não códigos a serem digitados em páginas externas.
- Verifique a Origem: Em caso de dúvida sobre a procedência de um link, digite o endereço oficial do serviço diretamente no navegador, em vez de clicar em mensagens de e-mail.
- Confira o Link Completo: Antes de clicar, observe o endereço completo, prestando atenção a parâmetros como “redirect_uri”, “return_url” ou “next”, que podem mascarar redirecionamentos para páginas maliciosas. Após a abertura, certifique-se de que o endereço final corresponde ao site esperado antes de inserir qualquer credencial.
Medidas Cruciais para Empresas
A Kaspersky recomenda que as organizações configurem alertas para identificar logins realizados por código de dispositivo e tentativas de acesso que fujam do padrão. Além disso, a adoção de soluções de segurança robustas, capazes de filtrar mensagens maliciosas e bloquear links de phishing antes que cheguem aos funcionários, é indicada como uma barreira adicional e essencial contra este tipo de ataque sofisticado, protegendo o ambiente corporativo de acessos indevidos e potenciais vazamentos de dados.
Fonte: canaltech.com.br