Phishing disfarçado de cadastro de passkey é usado para sequestrar sessões no Microsoft 365
A Microsoft descreveu uma técnica em que atacantes ligam ou enviam SMS para o telefone pessoal da vítima se passando pelo helpdesk de TI, convencendo-a a "cadastrar uma passkey" — mas o objetivo real é interceptar device codes e tokens de sessão via ataque adversary-in-the-middle, contornando totalmente a MFA. O kit "BigBear 2.0", rastreado pela CloudSEK, já comprometeu 5.137 registros de credenciais, incluindo 474 autenticações completas com bypass de MFA, em mais de 40 países. Como o golpe costuma ocorrer em dispositivos pessoais fora do Defender for Endpoint, a atividade maliciosa passa despercebida pela telemetria corporativa.
Pesquisadores da Microsoft e da CloudSEK descreveram uma campanha em que o pretexto de "cadastro de passkey" é usado para induzir vítimas a autorizar acesso indevido a ambientes Microsoft 365. O ataque começa com uma ligação ou mensagem SMS para o número pessoal do funcionário, alegando vir do helpdesk de TI da própria organização, direcionando-o a um site que imita fielmente a tela de login da Microsoft.
O ponto central da técnica é que registrar uma passkey quase nunca é o objetivo real do atacante — é apenas uma narrativa convincente para justificar a interação. Na prática, o fluxo abusa de dois mecanismos legítimos: ataques adversary-in-the-middle (AiTM), em que um proxy intercepta credenciais e o token de sessão emitido após o login; e abuso do fluxo de device code, em que a vítima é induzida a digitar em um segundo dispositivo um código gerado pelo atacante, autorizando sem perceber o acesso dele à própria conta. Em ambos os casos, senhas fortes e MFA tradicional não impedem o roubo, porque o que é capturado é o token de sessão já autenticado.
O uso de passkey como isca é particularmente perverso porque explora justamente a confiança crescente dos usuários em torno de métodos de autenticação "mais seguros" — a vítima acredita estar reforçando sua segurança quando na verdade está entregando acesso à conta. Some-se a isso o fato de boa parte dessas interações ocorrer em celulares pessoais fora da gestão da empresa: se o dispositivo não está integrado ao Microsoft Defender for Endpoint, a atividade maliciosa simplesmente não aparece na telemetria de segurança corporativa, atrasando a detecção.
O kit "BigBear 2.0", rastreado pela CloudSEK, já é responsável por 5.137 registros de credenciais comprometidas, incluindo 474 autenticações completas com bypass de MFA, distribuídas por mais de 40 países, com Índia, França, Arábia Saudita, Nova Zelândia e Alemanha entre os mais afetados.
Para reconhecer o golpe, o sinal mais claro é que nenhum helpdesk legítimo liga para o número pessoal de um funcionário pedindo que ele aprove um código de dispositivo ou finalize um cadastro de segurança fora do fluxo normal iniciado pelo próprio usuário. Como prevenção, organizações devem restringir ou desabilitar o fluxo de device code quando não for estritamente necessário, adotar MFA resistente a phishing baseada em hardware (FIDO2), aplicar acesso condicional e revisar logs de login em busca de tokens emitidos fora do padrão. Em caso de suspeita, a resposta imediata é revogar sessões ativas e tokens de atualização da conta afetada e forçar nova autenticação.