Serviço de phishing "Greatness" passa a se passar por RingCentral para sequestrar contas Microsoft 365 driblando MFA
A plataforma de phishing-as-a-service Greatness, vendida por US$ 289/mês em canais do Telegram, ampliou seu arsenal contra contas Microsoft 365 com ataques adversary-in-the-middle que capturam tokens de sessão já autenticados por MFA e phishing por device-code. A nova onda se disfarça de notificações da RingCentral, enviadas de servidores IONOS que falham em SPF/DKIM/DMARC mas atravessam filtros porque empresas costumam liberar (whitelist) o domínio legítimo da RingCentral. Com o token replicado, o atacante acessa Outlook, Teams, SharePoint e OneDrive por semanas sem precisar da senha nem burlar o MFA diretamente.
O Greatness é um exemplo maduro de como o phishing-as-a-service evoluiu de simples páginas clonadas de login para plataformas de assinatura que entregam adversary-in-the-middle (AiTM) pronto para uso. Ativo desde meados de 2022 e cobrando cerca de US$ 289 por mês via Telegram, o serviço mudou o alvo de "roubar senha" para "roubar sessão já autenticada" — uma diferença crucial, porque torna irrelevante o fato de a vítima ter MFA ativado.
A onda mais recente usa a RingCentral como isca porque a marca já goza de confiança dentro de ambientes corporativos: muitas empresas colocam o domínio da RingCentral em lista de permissão nos filtros de e-mail para garantir a entrega de notificações de voicemail e reuniões. Os operadores do Greatness enviam mensagens a partir de servidores IONOS que falham em todas as checagens de autenticação (SPF, DKIM, DMARC), mas como o conteúdo imita perfeitamente o remetente e o assunto esperado — inclusive com um banner falso de "remetente verificado" —, o e-mail atinge um Spam Confidence Level de -1 no Exchange, ou seja, passa como legítimo. A partir do clique, o fluxo AiTM intercepta a autenticação em tempo real, incluindo o token de MFA já aprovado pela vítima, ou usa a variante de phishing por device-code, que abusa do fluxo legítimo de autorização de dispositivos do Microsoft 365 para obter um token válido sem nunca mostrar uma tela de login falsa.
De posse do token, o atacante não precisa mais interagir com a vítima: ele replica a sessão a partir de infraestrutura de VPS e VPN comercial, o que dificulta a correlação geográfica de acesso anômalo, e passa a navegar Outlook, Teams, SharePoint, OneDrive, contatos e agenda, além de enumerar aplicativos registrados via Microsoft Graph — útil para mapear outras integrações a comprometer. Casos documentados mostram acesso persistente por mais de duas semanas antes da detecção.
A defesa eficaz contra esse padrão específico exige ir além de MFA básico: token binding e políticas de acesso condicional que reavaliem sinais de dispositivo e localização a cada uso de token (não só no login), bloqueio ou revisão manual de fluxos de device-code fora de cenários legítimos (TVs, consoles, CLI corporativa conhecida), e alertas para SPF/DKIM/DMARC-fail combinados com marca de alta confiança (como RingCentral, Zoom, Microsoft) mesmo quando o conteúdo passa pelo filtro de spam. Revisar periodicamente a lista de domínios em whitelist de e-mail — removendo liberações amplas demais — também reduz a superfície que esse tipo de campanha explora.