Golpistas usam tema de passkey para sequestrar acesso a ambientes corporativos na nuvem
Pesquisadores da Microsoft identificaram uma campanha de engenharia social em que atacantes ligam ou mandam SMS para o celular pessoal de funcionários se passando por suporte de TI, alegando que é preciso atualizar passkey, MFA ou SSO. A vítima é levada a um site falso que imita o login da Microsoft, e o verdadeiro objetivo é abusar do fluxo de autenticação por device code para roubar tokens de sessão válidos. Como o contato começa fora dos canais corporativos monitorados, o ataque deixa poucos rastros até que o acesso já esteja em uso.
A campanha descrita pela Microsoft inverte a lógica de confiança que a própria indústria vem construindo em torno de passkeys e autenticação sem senha: em vez de atacar a criptografia do mecanismo, os golpistas exploram o processo de suporte ao redor dele. O contato inicial por telefone ou SMS pessoal já é uma escolha deliberada, já que esses canais raramente têm o mesmo nível de filtragem e monitoramento que o e-mail corporativo, e a vítima tende a associar uma ligação de "TI" a um problema urgente e legítimo.
Tecnicamente, o golpe se apoia no fluxo de device code do OAuth/Entra ID, pensado originalmente para autenticar dispositivos sem teclado (como TVs ou consoles). O atacante inicia esse fluxo em nome da vítima e a induz a digitar um código em uma página de login real da Microsoft ou em um clone convincente, acreditando estar simplesmente "reativando" sua passkey ou MFA. Ao completar essa etapa, é o atacante quem recebe o token de sessão, obtendo acesso persistente à conta sem nunca precisar da senha ou do segundo fator da vítima — e sem gerar muitos dos alertas que um phishing de credenciais tradicional dispararia.
O ponto crítico é que esse tipo de sequestro de sessão sobrevive a boa parte das defesas pensadas para phishing de senha: como não há senha capturada, redefinir a senha da vítima não invalida o acesso do atacante, e é preciso revogar tokens e sessões ativas explicitamente. Isso torna a resposta a incidentes mais lenta e a campanha mais lucrativa para o atacante, que pode manter presença no ambiente corporativo por período prolongado antes de ser detectado.
Na prática, a defesa passa por três frentes: processual, técnica e de conscientização. Processualmente, equipes de TI nunca devem pedir que o usuário resolva problemas de acesso digitando códigos recebidos por telefone ou SMS — qualquer contato desse tipo deve ser verificado por canal oficial antes de qualquer ação. Tecnicamente, organizações que não dependem do fluxo de device code para uso legítimo podem restringi-lo ou bloqueá-lo via políticas de acesso condicional, e devem monitorar concessões desse tipo como evento de alto risco. Por fim, treinamentos de conscientização precisam deixar claro que "atualizar passkey" ou MFA nunca é uma emergência que justifica pular a verificação do solicitante — o mesmo ceticismo aplicado a phishing por e-mail deve valer para ligações e SMS.