0ktapus: a campanha de phishing que caçou credenciais de identidade Okta em mais de 130 empresas
A Group-IB detalha a campanha 0ktapus, que usou smishing e kits de phishing simples para roubar quase 10 mil credenciais e mais de 5 mil códigos MFA de funcionários de mais de 130 organizações, majoritariamente empresas de TI e nuvem nos EUA e Canadá. O golpe evoluiu para um ataque em cadeia de suprimento, comprometendo Twilio, Mailchimp e Klaviyo e usando esse acesso para atingir ainda mais vítimas, incluindo carteiras de criptomoedas.
A campanha apelidada de 0ktapus pela Group-IB mostra como técnicas relativamente simples de phishing podem gerar um efeito cascata devastador quando o alvo certo é escolhido: provedores de identidade e infraestrutura corporativa. Entre os comprometidos estão mais de 130 organizações, com cerca de 10 mil credenciais e mais de 5 mil códigos de autenticação multifator capturados através de mais de 160 domínios de phishing distintos.
O mecanismo do golpe é direto: as vítimas recebiam SMS com links para páginas que imitavam fielmente o portal de login Okta usado internamente por suas empresas. Ao inserir usuário, senha e o código MFA na página falsa, os dados eram enviados em tempo real para um canal do Telegram controlado pelos atacantes, permitindo captura mesmo de códigos OTP de curta validade baseados em SMS ou apps. O kit de phishing era distribuído entre criminosos por serviços de hospedagem de arquivos, indicando um ecossistema de "phishing-as-a-service" informal.
O ponto mais preocupante do caso é o movimento lateral: uma vez dentro de empresas como Twilio (usada para verificação por SMS) e Mailchimp/Klaviyo (usadas por empresas de cripto para e-mail marketing), os atacantes usaram esse acesso privilegiado para atingir clientes finais dessas plataformas, incluindo o sequestro de contas vinculadas a números de telefone comprometidos via Twilio.
Como defesa prática, a recomendação central é abandonar MFA baseado em SMS ou códigos numéricos em favor de chaves de segurança físicas compatíveis com FIDO2/WebAuthn, resistentes a phishing porque validam a origem (domínio) da requisição de autenticação. Equipes de segurança também devem monitorar domínios que imitam seus portais de SSO e treinar usuários para desconfiar de qualquer solicitação de MFA disparada por SMS não iniciada por eles mesmos.