Grupo PREY-0058 se passa por suporte de TI para burlar MFA e extorquir empresas via Microsoft 365
Um cluster de ameaças batizado de PREY-0058 está comprometendo executivos de alto escalão em ambientes Microsoft 365 usando apenas engenharia social por telefone, sem qualquer malware. Os atacantes se passam por suporte de TI interno, capturam credenciais e aprovações de MFA em tempo real e sequestram a sessão para drenar dados de SharePoint, OneDrive, Exchange e Box antes de exigir resgate.
O grupo identificado como PREY-0058 vem atacando diretores, vice-presidentes e outros executivos por meio de ligações telefônicas em que se apresentam como pessoal de TI da própria empresa. Em vez de instalar malware, eles conduzem a vítima até um portal de autenticação falso, formatado como "<organização>.<domínio-isca>", e capturam ali as credenciais e o código de MFA no exato momento em que são digitados.
O golpe funciona por dentro como um ataque clássico de adversário-no-meio (AiTM): um painel intercepta login e MFA em tempo real e replica a sessão roubada por meio de infraestrutura de proxy residencial, com destaque para a rede NodeMaven. Como o proxy é escolhido para corresponder à localização geográfica real da vítima, os sistemas de detecção de "viagem impossível" da Microsoft não disparam alerta. Com a sessão sequestrada, os atacantes mapeiam SharePoint e Entra ID e exfiltram dados de OneDrive, Exchange e Box antes de partir para a extorsão.
Os sinais de alerta são principalmente comportamentais, já que não há arquivo malicioso para um antivírus detectar: uma ligação não solicitada de alguém dizendo ser da TI, pedido para acessar um link de login com domínio fora do padrão da empresa, ou solicitação para aprovar um MFA push que o próprio usuário não iniciou.
A defesa mais eficaz é adotar MFA resistente a phishing, como FIDO2 ou passkeys, que não pode ser repassado por um proxy AiTM. Também ajuda exigir dispositivos gerenciados para acesso ao Microsoft 365, monitorar logins originados de provedores de proxy/hospedagem conhecidos, e treinar especificamente o público executivo — alvo preferencial desse tipo de golpe — para validar qualquer contato de "suporte" por um canal independente antes de agir.