Phishing explora campo de remetente SMTP vazio para burlar filtros do Microsoft 365
Pesquisadores da ReliaQuest identificaram uma técnica em que atacantes omitem o domínio do campo de remetente em e-mails enviados por Direct Send, o que neutraliza a proteção RejectDirectSend do Microsoft 365 Exchange Online. Com isso, mensagens não autenticadas passam a se passar por usuários internos e chegam à caixa de entrada mesmo falhando nas verificações padrão de autenticidade. O golpe mira principalmente times financeiros e cargos com poder de aprovar pagamentos, usando pretextos como notificações de documentos e pedidos de pagamento.
O RejectDirectSend existe justamente para impedir que qualquer remetente externo envie e-mails Direct Send se passando pelo domínio interno de uma organização sem autenticação — um vetor clássico de spoofing usado em fraude do tipo BEC (Business Email Compromise). A falha explorada aqui não está em uma vulnerabilidade de software convencional, mas em uma lacuna lógica na implementação da proteção: quando o atacante deixa o campo de domínio do remetente em branco, o filtro simplesmente não tem o que comparar e deixa a mensagem passar, mesmo que ela finja vir de dentro da organização.
O efeito prático é que um e-mail que deveria ser barrado por falhar em SPF, DKIM ou DMARC chega normalmente à caixa de entrada, exibindo o nome de um colega ou executivo real. Como o ataque não depende de comprometer nenhuma conta de verdade, ele é barato de escalar e difícil de atribuir a uma conta específica — o que os pesquisadores classificam como uma decisão de confiança de alto risco sendo tomada silenciosamente pelo próprio filtro. Os temas usados (notificações de documentos compartilhados, convites de reunião, pedidos de pagamento, muitas vezes embutidos em anexos SVG) são desenhados para não levantar suspeita imediata e para dar um motivo plausível de clique.
O alvo preferencial — times financeiros e pessoas com poder de aprovação ou procuração — deixa claro que o objetivo final é fraude de pagamento clássica: induzir uma transferência, alteração de dados bancários de fornecedor, ou aprovação de fatura fraudulenta, valendo-se da aparência de legitimidade interna do remetente.
Como resposta, organizações que usam Microsoft 365 devem tratar qualquer exceção ou falha silenciosa de filtragem como evento de alto risco a ser investigado, não ignorado, especialmente quando o destinatário está em um cargo financeiro. Vale revisar as regras de Direct Send e de confiança de domínio interno, reforçar DMARC com política de rejeição estrita, e criar um segundo canal de verificação (fora do e-mail) para qualquer pedido de pagamento, mudança de dados bancários ou aprovação de fatura — independentemente de quão legítimo o remetente pareça.