O golpe da passkey começa com um telefonema

A Microsoft divulgou a análise de duas campanhas criminosas em curso e, lida com olhos de quem administra um negócio, a conclusão incomoda: em nenhuma das duas o invasor precisou furar firewall, explorar falha de servidor ou instalar vírus. Ele ligou para o celular pessoal de um funcionário, disse ser do suporte de TI da própria empresa e pediu pressa.

Uma das frentes despejou mais de um milhão de mensagens de fraude financeira em apenas três dias, entre 3 e 5 de agosto de 2026. A outra, detectada desde maio de 2026, invade ambientes de nuvem corporativa e sai levando arquivos. O elo entre as duas é o mesmo: a porta de entrada é uma pessoa, não uma máquina. E o golpe da passkey virou o disfarce preferido.

Uma ligação, um SMS e uma tela igual à da Microsoft

O roteiro descrito pela Microsoft é simples, e é por isso que funciona. O criminoso estuda a empresa antes, colhendo nomes, cargos e organograma em redes sociais e plataformas de perfil profissional. Depois liga ou manda mensagem para o telefone pessoal do funcionário, se apresenta como help desk interno e avisa que a passkey, o MFA ou o SSO precisam ser reconfigurados imediatamente, sob pena de o acesso ser cortado.

Na sequência chega um SMS no aparelho particular, com um endereço que imita a página de login da Microsoft. A partir daí o funcionário é conduzido por um fluxo em que o criminoso se coloca no meio da conversa, o chamado adversary-in-the-middle, ou por uma autenticação via código de dispositivo. No primeiro caso, as credenciais são capturadas no caminho. No segundo, e esse é o detalhe cruel, o criminoso nem precisa da senha: a própria vítima autoriza o acesso sem perceber, e o segundo fator deixa de ser obstáculo.

Os domínios usados são registrados com temas que soam administrativos: passkey, matrícula em SSO, ativação de conta, verificação de identidade. Em boa parte dos casos o nome da empresa-alvo entra como subdomínio, para que o endereço pareça algo interno. A Mandiant, da Google, já havia registrado no mês anterior o uso de painéis de coleta de credenciais hospedados em domínios genéricos com aparência de passkey, com subdomínios personalizados por vítima para dar apoio a campanhas de golpe por voz.

A atribuição ajuda a dimensionar o problema. A Microsoft liga o acesso inicial a grupos que chama de Storm-3121 e Storm-3032, este último sua designação para o UNC6671, formado por gente que saiu do grupo BlackFile e hoje opera sob a marca de extorsão Helix. O conjunto se sobrepõe a um coletivo que outros pesquisadores acompanham como Cordial Spider e PREY-0058, com infraestrutura de phishing, operadores de ligação e painéis compartilhados. Não é um gênio isolado: é uma cadeia de fornecedores.

O estrago de verdade começa depois do login

Conseguir entrar é apenas o primeiro passo. Segundo a Microsoft, o objetivo imediato do invasor é transformar aquele acesso momentâneo em permanência. Para isso, ele cadastra um método de autenticação sob o próprio controle: um número de telefone novo, um aplicativo autenticador ou um gerador de senha de uso único em software.

Repare no que isso significa para a sua empresa. Feito o cadastro, o criminoso entra na conta corporativa quando quiser, sem qualquer participação do funcionário, e segue entrando enquanto as sessões não forem revogadas e as credenciais continuarem válidas. Em um dos casos investigados, houve um login atípico no Office Home a partir de um dispositivo não gerenciado, e dali o acesso se espalhou para SharePoint Online e OneDrive, com varredura de arquivos sensíveis e de serviços internos.

Depois vem o volume: uso intenso da API Graph, downloads no SharePoint e no OneDrive, coleta de caixas de correio por APIs REST. A Microsoft classifica o padrão como coleta automatizada a partir de identidades comprometidas, apoiada em infraestrutura de proxy. E faz um alerta que vale anotar: olhando uma chamada de API por vez, quase nada parece suspeito. Só a leitura do conjunto, a progressão do comportamento e a correlação entre eventos revelam o roubo em andamento.

Na outra frente, o e-mail que parece vir do seu diretor

A segunda campanha mira o caixa. Entre 3 e 5 de agosto de 2026, mais de um milhão de e-mails saíram por infraestruturas de disparo de terceiros, serviços legítimos, imitando presidentes e diretores das próprias empresas visadas. O pedido era sempre parecido: liberar uma transferência bancária automatizada referente a uma suposta assinatura anual do ServiceNow.

O que separa esse golpe do boleto falso de sempre é a camada de cenário. Os criminosos registram domínios parecidos com os verdadeiros, anexam uma nota fiscal fabricada, montam um encadeamento de e-mails falso em que a despesa já aparece aprovada e ainda levantam os nomes e endereços reais de CEO, CFO e presidente da empresa-alvo para colocar na assinatura. Há indícios de que inteligência artificial generativa foi usada para produzir os modelos e adaptar cada mensagem ao destinatário. O alvo principal foram empresas nos Estados Unidos, em serviços de TI, bens de consumo, mercado imobiliário e manufatura discreta, mas o roteiro não depende de fronteira.

O que fazer na sua empresa a partir de amanhã

Nenhuma das medidas abaixo é cara. Quase todas dependem mais de decisão do que de tecnologia.

• Crie uma regra e repita até cansar. O suporte de TI nunca liga no celular pessoal pedindo para atualizar passkey, MFA ou SSO. Contato assim se encerra e se confirma por um canal interno conhecido.
• Trate o cadastro de um novo método de MFA como evento crítico. Telefone, aplicativo autenticador ou token adicionado a uma conta precisa gerar alerta para alguém conferir no mesmo dia.
• Ensaie o botão de pânico. Revogar sessões ativas, derrubar tokens e trocar credenciais de uma conta suspeita precisa ser questão de minutos, com responsável definido pelo nome.
• Revise os fluxos de autenticação por código de dispositivo. Se a sua operação não depende deles, restrinja o uso.
• Separe o pagamento da conversa. Troca de conta bancária ou pedido urgente de transferência assinado por um diretor só anda depois de confirmação por voz, em número que já estava na sua agenda, nunca no que veio no e-mail.
• Olhe o comportamento, não o evento isolado. Download em massa, acesso fora do horário e dispositivo desconhecido, separados, não dizem nada. Juntos, contam uma história.

É nesse último ponto que a infraestrutura pesa. Um firewall corporativo gerenciado controla o que entra e o que sai da sua rede. O monitoramento contínuo do ambiente existe justamente para ligar pontos que, sozinhos, não acendem alarme. E um backup com restauração testada é o que sobra quando o acesso já foi perdido e alguém levou arquivos. Segurança de identidade não substitui essas camadas: soma-se a elas.

A conversa que vale ter esta semana

Reúna quem cuida do financeiro, quem atende o telefone e quem responde pela TI e faça três perguntas. Quem aprova uma transferência sozinho? Quantos métodos de autenticação estão cadastrados hoje nas contas corporativas? E, se uma conta fosse invadida agora, em quanto tempo alguém perceberia? Se alguma resposta demorar a sair, o trabalho começa aí.

Fonte: The Hacker News — Attackers Use Passkey Phishing to Hijack Microsoft Cloud Accounts and Exfiltrate Data, setembro de 2026.

A Ragnatela IoT Solutions trabalha nessas camadas: projeto e gestão de redes, nuvem privada em data center Tier III, NOC 24 horas, backup com restauração testada e cibersegurança. Se quiser entender como o seu ambiente está hoje, fale com a nossa equipe.