Grupos ligados ao ShinyHunters usam phishing com tema de passkey para roubar dados do Microsoft 365
A Microsoft atribuiu a grupos como Storm-3121 (ligado ao ShinyHunters) e Storm-3032 (marca Helix) uma campanha de engenharia social que se passa por suporte técnico para convencer funcionários a "atualizar" passkeys, MFA ou configurações de SSO. As vítimas caem em páginas de phishing adversary-in-the-middle que capturam credenciais e sessões, dando acesso a SharePoint, Outlook, OneDrive e apps conectados como Salesforce e Slack. Os dados são exfiltrados lentamente, ao longo de horas ou dias, e depois usados em esquemas de extorsão pelos mesmos grupos que já operam no ecossistema ShinyHunters/Scattered Spider.
A campanha começa com reconhecimento: os atacantes pesquisam a organização-alvo e identificam funcionários plausíveis para contatar por telefone ou mensagem, fingindo ser da equipe de TI interna. O pretexto usado — atualização urgente de passkey, MFA ou SSO — é eficaz justamente porque explora a familiaridade crescente dos usuários com esses mecanismos de autenticação "mais seguros": a vítima acredita estar reforçando sua segurança, quando na verdade está sendo conduzida a um site que imita a tela de login da Microsoft.
Tecnicamente, o golpe nem tenta de fato registrar uma passkey — esse é só o gancho de conversa. O objetivo real é capturar a sessão via um proxy adversary-in-the-middle (AiTM), que intercepta em tempo real usuário, senha e o segundo fator de autenticação, ou abusa do fluxo de autenticação por código de dispositivo para obter um token válido sem nunca precisar da senha. Esse tipo de ataque derrota MFA baseado em SMS/app OTP, pois o atacante rouba o cookie de sessão já autenticado, não apenas a senha.
Uma vez dentro, a exfiltração de arquivos e e-mails é feita de forma escalonada ao longo de horas ou dias — não em um único despejo — para não disparar alertas de volume anômalo de download. Esse padrão de "low and slow" é característica de grupos maduros do ecossistema de extorsão de dados (o mesmo guarda-chuva de ShinyHunters, Scattered Spider e afins), que depois usam o material coletado para pressionar a vítima corporativa a pagar resgate sob ameaça de vazamento público.
A defesa mais eficaz contra esse vetor é dupla: treinar equipes para desconfiar de qualquer contato não solicitado de "suporte de TI" pedindo ação urgente sobre autenticação — TI legítima raramente pede isso por telefone/chat sem processo formal — e migrar para chaves de segurança físicas FIDO2/WebAuthn, que são resistentes a phishing porque a chave criptográfica nunca é exposta ao site falso. Monitorar concessões incomuns de código de dispositivo e picos de acesso a SharePoint/OneDrive fora do padrão do usuário também ajuda a pegar o ataque em andamento antes da fase de extorsão.