A Vision Cybersecurity alerta para o crescimento de campanhas de Account Takeover (ATO) contra ambientes Microsoft 365, em ataques que utilizam recursos legítimos da nuvem para sequestrar contas corporativas e acessar informações sensíveis.
Segundo a empresa, diferentemente de ataques tradicionais de ransomware, essas campanhas não dependem necessariamente da instalação de malwares. Os criminosos buscam obter credenciais válidas para agir dentro do ambiente corporativo como se fossem usuários legítimos, dificultando a identificação da atividade maliciosa.
O objetivo dos invasores é acessar ferramentas amplamente utilizadas pelas empresas, como Outlook, OneDrive e SharePoint, para roubar e-mails, documentos e outros dados estratégicos.
Ataques exploram técnicas de roubo de identidade
De acordo com a Vision Cybersecurity, uma das principais características dessas campanhas é o uso de técnicas que exploram falhas relacionadas à identidade digital.
Entre os métodos utilizados está o Password Spray, no qual os atacantes testam uma mesma senha comum contra diversas contas corporativas para evitar bloqueios individuais e reduzir a chance de detecção.
Outra técnica identificada é o Adversary-in-the-Middle (AiTM), em que criminosos criam páginas falsas de login semelhantes às da Microsoft para capturar credenciais e códigos de autenticação informados pelos colaboradores.
Os ataques também podem envolver o roubo de tokens de autenticação, que funcionam como credenciais temporárias armazenadas no navegador. Com esses tokens, os invasores conseguem acessar contas sem precisar passar novamente por processos de validação de identidade.
Criminosos usam ferramentas oficiais para manter acesso
Após o comprometimento inicial da conta, os invasores passam a utilizar recursos administrativos da própria Microsoft para ampliar e manter o acesso ao ambiente corporativo.
Segundo a Vision, os criminosos podem alterar configurações do MFA, cadastrar novos e-mails ou números de telefone sob seu controle, manipular o Self-Service Password Reset (SSPR) e registrar novos dispositivos como confiáveis dentro do diretório de identidades da organização.
Essas ações permitem que o atacante continue acessando o ambiente mesmo após alterações de senha ou tentativas iniciais de bloqueio realizadas pelas equipes de TI.
Dados são extraídos por canais legítimos da nuvem
Com o controle das contas, os criminosos realizam buscas por informações financeiras, dados pessoais, documentos estratégicos e listas de clientes armazenados em serviços como SharePoint e OneDrive.
A Vision Cybersecurity destaca que a exfiltração dos dados ocorre por meio de conexões HTTPS e APIs oficiais da Microsoft, como a Graph API, utilizadas originalmente para integração entre sistemas.
O uso desses recursos legítimos dificulta a identificação dos ataques por ferramentas tradicionais de segurança. As informações obtidas podem ser utilizadas em processos de extorsão ou comercializadas em ambientes clandestinos da internet.
Empresas devem reforçar proteção de identidade
Para reduzir os riscos de ataques de Account Takeover, a Vision Cybersecurity recomenda uma abordagem baseada em proteção de identidade, controle de acesso e monitoramento contínuo.
Entre as principais medidas estão:
- Implementar MFA resistente a phishing, utilizando chaves físicas de segurança FIDO2, biometria integrada ao sistema, como Windows Hello, ou aplicativos com correspondência de número.
- Restringir o recurso de Self-Service Password Reset (SSPR) e acompanhar alterações relacionadas à recuperação de contas.
- Fortalecer políticas de Acesso Condicional, bloqueando acessos suspeitos de locais incomuns, redes de anonimização ou dispositivos não gerenciados.
- Adotar o modelo Zero Trust, com auditoria constante do comportamento dos usuários e aplicação do princípio de menor privilégio.
