Phishing via serviços legítimos já responde por 1 em cada 10 e-mails maliciosos
Um levantamento da KnowBe4 mostra que 22% dos ataques de phishing hoje abusam de plataformas SaaS confiáveis como DocuSign, Adobe Sign, Google Drive e QuickBooks para enviar notificações genuínas com links maliciosos embutidos. A técnica, chamada de 'Living Off Trusted Services' (LOTS), consegue atravessar filtros de e-mail justamente porque o remetente é legítimo, mesmo quando o conteúdo não é. De 544 mil e-mails de ameaça analisados, 53 mil usaram esse artifício, com DocuSign e QuickBooks somando dois terços do volume.
O golpe explora uma lacuna estrutural dos filtros antiphishing tradicionais, que avaliam reputação de domínio e remetente, não o conteúdo funcional da mensagem. Como qualquer pessoa pode abrir uma conta gratuita em DocuSign, Adobe Sign, Dropbox ou SharePoint, o criminoso cria um documento ou solicitação de assinatura real dentro da própria plataforma. O e-mail de notificação sai dos servidores legítimos dessas empresas, com SPF, DKIM e DMARC válidos, e chega à caixa de entrada da vítima sem qualquer bandeira de alerta — porque, tecnicamente, não é spoofing.
A partir daí, o golpe se desdobra em três frentes principais: páginas de login falsificadas que replicam o visual da própria plataforma para roubar credenciais; fluxos de autorização OAuth por código de dispositivo, em que a vítima é induzida a 'aprovar' o acesso de um aplicativo malicioso à sua conta corporativa (Microsoft 365, Google Workspace); e instalação de ferramentas de RMM (Remote Monitoring and Management) sob pretexto de suporte técnico, dando ao atacante acesso remoto persistente à máquina. Em todos os casos, o elemento comum é a urgência artificial — 'documento pendente de assinatura', 'fatura vencida' — que empurra a vítima a agir sem verificar o destino real do link.
O motivo do crescimento é econômico para o atacante: campanhas hospedadas em infraestrutura própria são cada vez mais filtradas por soluções de e-mail que já aprenderam a identificar domínios recém-registrados e certificados suspeitos. Reaproveitar a reputação de um provedor SaaS estabelecido reduz drasticamente a taxa de bloqueio, e o custo de operação é quase nulo, já que contas de teste gratuitas bastam para montar a isca.
Na prática, a defesa não pode mais se apoiar só em reputação de domínio. Times de segurança devem auditar listas de exceção dos gateways de e-mail que hoje tratam esses SaaS como 'sempre confiáveis', restringir a permissão de autorização OAuth por código de dispositivo e monitorar instalações incomuns de ferramentas RMM. Para o usuário final, o hábito mais eficaz continua sendo não confiar no link do e-mail: acessar a plataforma (DocuSign, Google Drive etc.) diretamente pelo navegador ou aplicativo oficial para verificar se a solicitação realmente existe, em vez de clicar na notificação recebida.