A Huntress publicou uma pesquisa que muda o enquadramento de como o business email compromise entra em uma organização. Em um relatório publicado em 22 de outubro de 2026, o provedor de segurança gerenciada descreve uma campanha contra o Microsoft 365 que ocorreu de 14 de julho a 22 de setembro de 2026, na qual os atacantes não precisaram adivinhar uma única senha. Em vez disso, capturaram sessões de login por meio de relays de adversário no meio e reutilizaram os tokens roubados em escala, uma técnica que a Huntress chama de token spraying.
Em seus ambientes de clientes, a Huntress respondeu a incidentes em 79 organizações, observando pelo menos 497 eventos de login bem-sucedidos no Microsoft 365 contra mais de 200.000 tentativas falhadas, todas rastreadas até o bloco de IP 193.26.115[.]0/24, atribuído ao provedor de hospedagem alemão 1337 Services GmbH, também conhecido como AS210558. O Microsoft Entra ID Protection gerou de forma independente detecções de IP verificado de atores de ameaça contra vários endereços desse bloco.
Como funciona o token spraying
Em um ataque de adversário no meio, a vítima faz login por um relay que fica entre ela e a página real da Microsoft. O relay mostra a página genuína e o prompt de MFA para a vítima e depois guarda o token que a Microsoft emite quando o login termina. Como esse token é gerado depois do MFA, quem o possui não precisa passar pelo MFA novamente. O atacante reutilizou muitos tokens roubados em tentativas automatizadas de login contra serviços do Microsoft 365, o mesmo padrão de volume do password spraying, mas com tokens roubados em vez de senhas adivinhadas.
A Huntress afirma que os tokens vieram de várias fontes: relays AiTM atrás de páginas falsas de login, phishing por código de dispositivo e engenharia social durante um processo de login que, fora isso, era legítimo.
Persistência e manipulação da caixa de entrada
Uma vez dentro, os atacantes trabalharam para permanecer dentro. Registraram pelo menos 48 dispositivos Entra falsos nos diretórios das vítimas, porque um dispositivo registrado oferece uma forma mais durável de solicitar tokens do que a sessão roubada sozinha. Também apagaram e substituíram os métodos de MFA das vítimas. Em um caso descrito pelos pesquisadores, um atacante ativou um novo app de autenticador em cerca de uma hora após sequestrar a sessão.
Os detalhes ligados ao e-mail merecem a maior atenção. Os atacantes criaram regras ocultas de caixa de entrada com nomes como “sss”, “ss” e “iT” para apagar mensagens recebidas que mencionavam folha de pagamento, depósitos e bônus, ou movê-las para pastas obscuras como RSS Feeds e Conversation History. O objetivo era esconder as respostas e alertas que exporiam um business email compromise em andamento. Em uma caixa comprometida, o atacante marcou todas as mensagens recebidas como lidas e as apagou, e depois usou a conta para enviar spam de saída para centenas de destinatários externos antes de o Microsoft Entra ID Protection classificar a conta como de alto risco. Em outro incidente, o atacante usou uma conta sequestrada para enviar um e-mail relacionado a folha de pagamento para um contato externo.
Por que o DMARC ainda importa quando o ataque começa por dentro
A leitura instintiva dessa campanha é que a autenticação de e-mail não importou, porque o atacante usou contas reais em infraestrutura real. O contrário é verdadeiro. Ataques que começam com um token roubado terminam com uma caixa de correio roubada, e uma caixa roubada envia e-mails que passam SPF, DKIM e DMARC do domínio ao qual pertence. A autenticação não consegue dizer que o humano por trás do envio foi trocado.
Isso tem duas consequências. Para os defensores, a autenticação de entrada é o piso: uma mensagem que passa no DMARC não é automaticamente segura, e controles como Conditional Access, revogação de sessões e auditoria de regras de caixa de entrada precisam cobrir o que acontece depois da entrega. A Huntress recomenda revogar as sessões e redefinir a senha de qualquer suspeita de vítima de reutilização de tokens, depois remover os dispositivos e métodos de MFA registrados pelo atacante, que uma redefinição de senha sozinha deixa intactos, e revisar regras de caixa de entrada e novos aplicativos corporativos.
Para os remitentes, o lado da saída é a parte perigosa. Uma caixa sequestrada que envia spam para centenas de destinatários externos danifica a reputação do domínio que envia. A marca cujo domínio foi recrutado para o golpe absorve os bounces, as reclamações e as consequências de blocklists, embora ninguém da sua equipe tenha escrito aquelas mensagens.
A lição de entregabilidade
Para as equipes de marketing e de TI, a campanha lembra que entregabilidade e segurança convergem no mesmo ativo: o domínio. Se o seu domínio envia e-mails de contas que podem ser tomadas em silêncio, sua reputação como remitente é tão forte quanto seu token de sessão mais fraco. Monitorar os relatórios agregados de DMARC continua essencial, não porque isso impede o roubo de tokens, mas porque mostra todas as fontes que enviam como seu domínio, incluindo contas comprometidas e qualquer serviço não autorizado que entrou no seu DNS.
O Excello Mail mapeia todas as fontes legítimas de envio dos seus domínios e leva você à aplicação plena do DMARC sem quebrar e-mails reais, e seu monitoramento expõe envios que não pertencem, venham de um domínio falsificado ou de uma caixa de correio que não responde mais a você. Cadastre-se gratuitamente no Excello Mail e mantenha seu domínio, seus destinatários e sua reputação fora do ataque de outra pessoa.