A maior parte do phishing autenticado por DMARC que este blog já cobriu depende de sequestrar o domínio confiável de outra pessoa, uma conta comprometida do Amazon SES, um alerta do Azure Monitor genuinamente enviado pela Microsoft, um pipeline real de notificações de um fornecedor. O NovaCookies faz algo mais silencioso e, de certa forma, mais preocupante. O pesquisador sênior de segurança da Island, Shachar Gritzman, passou meses rastreando um kit de phishing por assinatura que rouba cookies de sessão ativos do Microsoft 365 por 320 dólares por mês, e o e-mail que ele envia não precisa sequestrar ninguém. Ele passa em SPF, DKIM e DMARC porque o próprio atacante registrou os domínios de envio, configurou os registros e fez o alinhamento. O kit já atingiu centenas de organizações nos Estados Unidos, Reino Unido, Canadá, Alemanha, Israel e Emirados Árabes Unidos, com uma infraestrutura que se expandiu fortemente a partir de meados de maio de 2026 e continuava ativa em agosto.
Um Domínio Corretamente Configurado Não É o Mesmo Que um Domínio Confiável
Os operadores do NovaCookies usam dez domínios de envio, quatro terminados em .com e seis em .asia, canalizados por nove contas separadas do SendGrid. Cada um desses domínios tem registros SPF e DKIM válidos, e o alinhamento DMARC é verificado sem problemas porque remetente e assinante coincidem por design. Essa é a parte que vale a pena parar para considerar. O DMARC foi criado para responder uma única pergunta: se a entidade que envia este e-mail está realmente autorizada a usar este domínio. Um domínio novo, registrado na semana passada, sem histórico, sem reputação e sem propósito legítimo, pode responder essa pergunta com um sim perfeito, porque a única autoridade que o DMARC verifica é aquela que o próprio dono do domínio se concede. Nada no protocolo pergunta se o domínio conquistou alguma confiança. Nada pergunta há quanto tempo ele existe, para que serve, ou quem está de fato por trás dele. O e-mail do NovaCookies atravessa sem esforço o exato mecanismo que deveria impedir a falsificação, sem falsificar absolutamente nada.
O Envelope do Docusign É Real, e o Redirecionamento OAuth Também É
Os domínios cuidam da entrega, mas tanto a isca quanto a rota de fuga tomam emprestada uma infraestrutura legítima que nunca precisou ser comprometida. As campanhas observadas embrulham o link de phishing dentro de um envelope autêntico do Docusign trazendo um falso aviso de compartilhamento de documento, de modo que o destinatário vê um e-mail genuíno do Docusign apontando para o que parece ser um arquivo compartilhado. Ao clicar no link, o usuário passa por um ponto legítimo de login da Microsoft ou do Google antes de a vítima chegar à infraestrutura do atacante, usando uma técnica de redirecionamento por erro do OAuth que a própria Microsoft documentou em março de 2026. O atacante provoca deliberadamente uma falha de autenticação silenciosa, um parâmetro scope inválido ou uma solicitação prompt=none que não consegue ser resolvida sem interação, e o Microsoft Entra ID responde redirecionando o navegador para o URI de redirecionamento que o atacante registrou, junto com os detalhes do erro. Cada salto dessa cadeia parece legítimo porque cada salto de fato é legítimo, até o último. O destino final é um proxy reverso que retransmite em tempo real o login real de Microsoft 365 da vítima e fica com o próprio cookie de sessão autenticada.
Roubar a Sessão Pula a Pergunta que o MFA Foi Criado Para Responder
A autenticação multifator protege uma senha. Ela não faz nada por uma sessão que já foi concedida e depois retirada por completo. Como o NovaCookies opera como um proxy ativo de adversário no meio, posicionado entre a vítima e a página real de login da Microsoft, o desafio de MFA da vítima é cumprido normalmente, contra a infraestrutura real da Microsoft, enquanto o kit captura o cookie de sessão resultante em seu caminho de volta. A partir daí, o atacante tem em mãos uma sessão autenticada e funcional, e não precisa da senha da vítima, do seu dispositivo de MFA, nem de uma nova tentativa de login. Cada camada de verificação de identidade cumpriu sua função corretamente. O roubo aconteceu depois que a verificação teve sucesso, não no lugar dela.
O Que Isso Significa Para o Seu Programa
Um e-mail recebido que passa no DMARC diz que o domínio de envio é internamente consistente, não que ele é seguro. A idade do domínio, os padrões de registro e a reputação de envio devem fazer parte da sua pilha de filtragem como sinais separados, porque o alinhamento DMARC sozinho não consegue distinguir um novo fornecedor legítimo de uma operação de phishing que registrou dez domínios no trimestre passado exatamente para esse fim.
Trate links com múltiplos saltos que incluem paradas intermediárias reais como um sinal de alerta maior, não menor. Um link que passa por um ponto real da Microsoft ou do Google antes de pousar em outro lugar foi projetado especificamente para vencer o instinto de verificar para onde um link leva, já que o primeiro salto visível é genuinamente confiável.
O roubo de cookies de sessão significa que sua política de MFA é necessária, mas não suficiente. Combine-a com controles de acesso condicional que avaliem o risco da sessão continuamente, com vinculação de token onde seu provedor de identidade permitir, e com tempos de vida de sessão curtos que reduzam a janela em que um cookie roubado ainda é útil.
Se sua organização usa Docusign ou uma plataforma de assinatura eletrônica semelhante, avise as pessoas de que um envelope com aparência legítima não é prova de que a solicitação por trás dele também seja. Os atacantes não precisam comprometer o Docusign para abusar da confiança que as pessoas depositam em suas notificações.
A Conclusão
O NovaCookies é um lembrete de que protocolos de autenticação e confiança não são a mesma coisa, mesmo quando os protocolos funcionam exatamente como foram projetados. Dez domínios com alinhamento DMARC limpo, uma notificação autêntica do Docusign e um ponto real de login OAuth da Microsoft se combinam em uma cadeia em que cada elo individual está correto, e a soma ainda é um serviço de roubo de sessão de 320 dólares por mês operando contra centenas de organizações. O DMARC fez exatamente o que foi projetado para fazer aqui. Ele simplesmente nunca foi projetado para responder à pergunta da qual este ataque realmente depende: se o domínio que pede confiança a merece.
O DMARC diz se um domínio está autorizado a enviar, não se ele merece a confiança de alguém. A Excello Mail transforma os relatórios agregados de DMARC do seu próprio domínio em um registro claro e contínuo de cada serviço que envia em seu nome, para que um domínio parecido recém-registrado tentando se aproveitar do seu nome não passe despercebido. Cadastre-se gratuitamente na Excello Mail e mantenha essa visibilidade funcionando enquanto sua equipe cuida do resto.