Fabricante de defesa dos EUA IEH é vítima de phishing que expõe dados potencialmente sob controle de exportação
Um funcionário da IEH Corporation, fabricante de conectores para uso militar e aeroespacial, inseriu credenciais do Microsoft 365 em uma página de login falsa após clicar em um link enviado por um atacante que se passou por um contato comercial. O invasor obteve acesso à caixa de e-mail e criou regras maliciosas para manter persistência, expondo e-mails, dados de clientes e documentos de engenharia potencialmente sujeitos às regulações ITAR/EAR.
O ataque contra a IEH segue o roteiro mais comum de comprometimento de conta corporativa (account takeover): o criminoso não precisou de nenhum exploit sofisticado, apenas de uma isca convincente. Ele se passou por um prospecto comercial legítimo e enviou um hiperlink disfarçado de link de compartilhamento de documento do Microsoft — um formato que os funcionários reconhecem e em que confiam por hábito, já que recebem dezenas desses convites de colaboração todos os meses.
Ao clicar e inserir a senha na página falsa, a credencial foi capturada instantaneamente e usada pelo atacante para logar na conta real do Microsoft 365. A partir daí, o passo mais importante do ataque — e o que frequentemente passa despercebido — foi a criação de regras de caixa de entrada maliciosas, uma técnica de persistência amplamente usada em BEC: essas regras permitem ocultar ou redirecionar automaticamente e-mails de resposta, dando ao atacante uma janela prolongada de acesso silencioso à correspondência da vítima sem que ela perceba atividade suspeita.
O risco nesse caso específico vai além do típico desvio financeiro de BEC: por se tratar de uma fabricante de conectores usados em aplicações militares e aeroespaciais, o e-mail comprometido continha potencialmente dados sujeitos a controles de exportação (ITAR/EAR), o que soma um componente de espionagem industrial ao componente de fraude — uma caixa de e-mail comprometida pode ser usada tanto para desviar pagamentos de fornecedores quanto para extrair propriedade intelectual sensível.
A lição prática para qualquer empresa é dupla: primeiro, autenticação multifator resistente a phishing (como chaves de segurança FIDO2) reduz drasticamente o impacto do roubo de senha, já que a credencial sozinha deixa de ser suficiente para o login. Segundo, monitoramento de regras de encaminhamento e ocultação de e-mail deveria ser um item padrão de auditoria de segurança, pois é justamente esse mecanismo de persistência que transforma um clique isolado em semanas de acesso não detectado — e é o ponto onde a maioria dos times de segurança só percebe o incidente tarde demais.