Vishing e phishing por "device code" disparam como porta de entrada para invasões
A CrowdStrike registrou aumento de 2 vezes em intrusões via vishing (phishing por voz) e de 15 vezes em ataques de "device code phishing" nos últimos seis meses. Em ambos os casos, o criminoso engana a vítima por telefone ou por um fluxo de login legítimo baseado em OAuth para obter acesso a contas corporativas sem precisar quebrar senha ou autenticação multifator. Grupos rastreados como CORDIAL SPIDER e SNARKY SPIDER já conseguem roubar dados em menos de cinco minutos após o primeiro contato com a vítima.
O relatório da CrowdStrike, citado pela KnowBe4, documenta uma mudança de tática entre grupos de engenharia social: em vez de depender de e-mails de phishing que podem ser filtrados por gateways de segurança, os atacantes estão migrando para canais que dependem de interação humana em tempo real e de fluxos de autenticação legítimos — dois vetores que historicamente escapam de controles técnicos tradicionais.
No vishing, grupos como CORDIAL SPIDER e SNARKY SPIDER ligam se passando por equipe de suporte de TI interno, alegando um problema trivial que precisa ser resolvido com urgência. A vítima, pressionada pelo tom de autoridade e pela urgência artificial, acaba compartilhando credenciais, aprovando uma solicitação de MFA push ou até instalando ferramentas de acesso remoto — tudo dentro de uma ligação que pode durar poucos minutos e não deixa rastro técnico como um anexo malicioso deixaria.
O "device code phishing" é uma variação mais técnica que abusa do fluxo de autenticação OAuth 2.0 pensado originalmente para dispositivos sem teclado (como smart TVs). O atacante gera um código de dispositivo legítimo em um serviço real (por exemplo, Microsoft 365) e convence a vítima, por telefone ou mensagem, a inserir esse código em uma página de login autêntica. Como a vítima realiza a autenticação de fato — inclusive passando pelo MFA normalmente —, o atacante recebe um token de acesso válido sem nunca ter visto a senha nem precisado contornar tecnicamente o segundo fator.
O que torna essas técnicas particularmente perigosas do ponto de vista antifraude é justamente a ausência de sinais que os sistemas tradicionais de detecção monitoram: não há malware para um antivírus detectar, não há tentativa de força bruta para um WAF bloquear, e a autenticação em si é genuína do ponto de vista do provedor de identidade. Uma vez dentro, o acesso obtido pode ser usado tanto para movimentação lateral quanto, em cenários com componente financeiro, para iniciar transferências fraudulentas ou alterar dados cadastrais de pagamento a partir de uma conta corporativa legítima.
A defesa prática passa menos por ferramenta e mais por processo: treinar equipes para nunca validar pedidos de suporte de TI recebidos por telefone sem confirmar por um canal independente (por exemplo, ligando de volta para um número já conhecido, não o fornecido pelo suposto atendente), proibir a inserção de códigos de dispositivo recebidos de terceiros não solicitados, e monitorar o uso do fluxo de device code corporativo como um evento sensível — sinalizando concessões fora do padrão de uso normal do usuário ou do dispositivo.