Pesquisadores da Check Point documentaram uma campanha de phishing que pula a parte em que as equipes de segurança mais investem tempo treinando as pessoas a identificar. Ativa do final de junho até a segunda semana de julho, a campanha enviou mais de 200 e-mails para cerca de 120 organizações em uma variedade de setores e países, cada um disfarçado como uma notificação de atividade do Microsoft Teams alegando que o RH havia atribuído uma tarefa ao destinatário. Clicar no link não levava a nenhum site falso. Levava a uma página de login genuína da Microsoft, no próprio domínio da Microsoft, pedindo à vítima que aprovasse permissões para um aplicativo. Nada na página era forjado, porque nada precisava ser.
O Ataque em Termos Simples
A isca em si é comum: uma notificação com estilo Teams alegando nova atividade do RH, projetada para conseguir um clique sem muita reflexão. O que acontece a seguir não é comum. Em vez de um formulário de login clonado em infraestrutura do atacante, o link passa por uma URL de autorização OAuth genuína da Microsoft. Uma vítima que faz login não é solicitada a entregar uma senha em uma página falsa, é solicitada a aprovar permissões para um aplicativo de terceiros, com um aviso dizendo algo próximo de “Aceitar em nome da sua organização”. Aprovar isso não rouba credencial alguma. Emite ao aplicativo registrado do atacante um token de acesso válido, com permissão delegada para ler e-mails, arquivos, mensagens do Teams, SharePoint, OneDrive e dados de calendário, enquanto essa concessão permanecer ativa. Nenhuma senha muda de mãos. Nenhum aviso de autenticação multifator é derrotado, porque a vítima o completa ela mesma, de verdade, em seu próprio nome.
Por Que o DMARC Nunca Entra em Jogo
Vale a pena examinar isso com mais calma do que a história costumeira de domínios parecidos. O DMARC, o SPF e o DKIM existem para responder a uma pergunta: o domínio remetente desta mensagem é quem afirma ser? Essa pergunta importa enormemente para o e-mail de notificação inicial, e uma organização com DMARC rigorosamente aplicado e usuários atentos ainda pode identificar um remetente falsificado nessa etapa. Mas a parte deste ataque que de fato custa à vítima o acesso à sua conta acontece depois do clique, em uma página que não é falsificada, nem clonada, nem mentindo sobre seu domínio de forma alguma, porque é simplesmente a infraestrutura real da Microsoft fazendo exatamente o que foi construída para fazer: processar uma solicitação de consentimento OAuth. A autenticação de e-mail não tem jurisdição sobre o que um usuário decide aprovar com um clique depois de sair da caixa de entrada. Esse é um limite de confiança completamente diferente, governado pela política de consentimento de aplicativos, não por nada que o DMARC avalie.
O Ponto Cego Que Isso Expõe
As equipes de segurança passaram anos treinando defesas e usuários em torno de um padrão específico: verificar o remetente, verificar o domínio, verificar a URL em busca de um erro de digitação. Essa campanha foi construída por pesquisadores que entendiam esse padrão e a projetaram justamente para contorná-lo. A Check Point observa que a técnica já foi comercializada como um serviço de phishing por aluguel, o que significa que o volume de campanhas usando essa abordagem provavelmente crescerá bem além dessa única divulgação. Cada camada de autenticação de e-mail pode estar funcionando exatamente como pretendido e esse ataque ainda assim tem sucesso, porque o comprometimento acontece uma camada acima, no fluxo de consentimento de aplicativos do Entra ID, uma superfície de controle que a maioria das organizações nunca configurou além do estado padrão.
A solução prática não está no DNS. Está em restringir o que um usuário sequer tem permissão para aprovar: exigir consentimento do administrador para qualquer aplicativo que solicite acesso além de um conjunto reduzido e pré-aprovado de permissões, em vez de deixar essa decisão nas mãos de qualquer funcionário que receba uma notificação do Teams convincente o suficiente em uma tarde corrida.
O Que Isso Significa para o Seu Programa
Revise e restrinja as configurações de consentimento do usuário no Microsoft Entra ID agora, não depois de um incidente. As configurações padrão em muitos tenants ainda permitem que qualquer usuário conceda permissões delegadas amplas a aplicativos de terceiros não verificados, que é exatamente a lacuna explorada por essa campanha.
Trate as concessões de aplicativos OAuth como um ativo monitorado, da mesma forma que você monitora os relatórios agregados de DMARC. A maioria das organizações tem visibilidade sobre quem envia e-mails como seu domínio e quase nenhuma sobre quais aplicativos de terceiros mantêm atualmente acesso permanente às caixas de entrada e arquivos de seus usuários.
Estenda o treinamento de conscientização sobre phishing além de “verifique a URL”. Uma URL apontando para um domínio genuíno da Microsoft passará em toda verificação que um usuário treinado aprendeu a fazer, o que torna “essa solicitação de aplicativo faz sentido?” uma pergunta mais útil do que “essa página parece real?”.
Mantenha a aplicação do DMARC de qualquer forma, já que ela ainda fecha a porta para domínios remetentes abertamente falsificados. Essa campanha é um lembrete de que a autenticação é necessária, mas não suficiente, não um argumento para dispensá-la.
A Conclusão
O DMARC nunca esteve em posição de falhar aqui porque a parte deste ataque que valia a pena impedir acontece completamente fora do que o DMARC avalia. Um proprietário de domínio pode aplicar uma política rigorosa, manter cada relatório limpo, e ainda assim ver um atacante conduzir uma vítima por uma tela de login da Microsoft completamente genuína até a entrega de acesso permanente à sua conta. Fechar essa lacuna exige governança de consentimento de aplicativos ao lado da autenticação de e-mail, não no lugar dela.
A Excello Mail oferece visibilidade contínua sobre a aplicação do seu DMARC e sobre cada fonte autorizada a enviar e-mails em nome do seu domínio, para que você sempre saiba o que sua autenticação realmente protege e onde estão seus limites. Cadastre-se gratuitamente na Excello Mail e veja exatamente quem está enviando e-mails como você, o tempo todo.