Quando o FBI (Federal Bureau of Investigation) publica um comunicado de serviço público específico sobre um novo kit de phishing, vale a pena prestar atenção.
A agência alerta agora para o «Kali365», uma plataforma de phishing como serviço (PhaaS) que permite até mesmo a atacantes com poucos conhecimentos técnicos sequestrar contas do Microsoft 365, roubando tokens de acesso em vez de palavras-passe.
Embora os primeiros relatos se centrem em ataques contra organizações, a técnica subjacente funciona com a mesma facilidade contra utilizadores individuais do Microsoft 365 que são levados a introduzir um código curto num site autêntico da Microsoft. Por outras palavras, não se trata apenas de um problema das empresas ou dos departamentos de TI. Pode afetar qualquer pessoa com uma subscrição do Outlook, do OneDrive ou do Microsoft 365.
Para os cibercriminosos que utilizam o kit, este oferece três vantagens claras:
- Contorna a autenticação multifator (MFA) através do roubo de tokens de acesso, pelo que os códigos adicionais ou as aplicações deixam de ser úteis assim que o token é comprometido.
- O Kali365 proporciona um acesso contínuo. Os atacantes podem continuar a utilizar o Outlook. Teams e o OneDrive sem ter de fazer login repetidamente, desde que o token de atualização roubado permaneça válido.
- Não é necessário ter muitos conhecimentos técnicos. Os cibercriminosos podem subscrever o Kali365 e lançar imediatamente campanhas de roubo de tokens em grande escala.
Como é que o ataque se apresenta?
As vítimas recebem uma mensagem de phishing que parece vir de um serviço de cloud ou de uma ferramenta de colaboração, como uma notificação de partilha de documentos ou Teams convite. A mensagem inclui um breve “código do dispositivo” e instruções como: “Aceda à página de verificação da Microsoft e introduza este código para visualizar o documento.”
É uma fraude ou é legítimo? O Scam Guard sabe.
Ao contrário de muitos e-mails de phishing, este redireciona-o para um URL real da Microsoft utilizado nos processos de início de sessão dos dispositivos. Para o utilizador, a página parece-lhe familiar e totalmente legítima, o que diminui a desconfiança.
As vítimas veem então os ecrãs habituais de início de sessão e de consentimento da Microsoft e podem pensar que estão simplesmente a realizar uma verificação de segurança normal. Nunca veem uma página falsa, nunca introduzem a sua palavra-passe num formulário suspeito e podem até ver a identidade visual da sua organização.
Mas o que não percebem é que deram acesso ao invasor.
Assim que a vítima aprova o pedido, o dispositivo do atacante recebe tokens de acesso e de atualização OAuth ligados à conta Microsoft 365 da vítima. Estes tokens são utilizados pela Microsoft para "lembrar" que já fez login e podem ser reutilizados para aceder ao Outlook, ao OneDrive, etc. Teams e outros serviços da Microsoft sem ter de introduzir a palavra-passe novamente.
Com tokens de atualização válidos, os atacantes podem manter o acesso a longo prazo até que os tokens sejam revogados ou expirem, muitas vezes misturando-se à atividade normal da conta.
Esse acesso pode permitir que os cibercriminosos:
- Ler e-mails do Outlook, incluindo mensagens de redefinição de palavra-passe
- Aceder a ficheiros armazenados no OneDrive ou no SharePoint
- Enviar e-mails de phishing a colegas de trabalho, clientes, amigos ou familiares a partir da conta da vítima
Como se proteger
Uma vez no Outlook, os atacantes podem não só ler as suas mensagens, como também enviar novas mensagens convincentes a partir do seu endereço, utilizando a sua identidade para comprometer outras contas e contactos.
Algumas dicas para evitar esta situação:
- Nunca introduza um código numa página de início de sessão da Microsoft apenas porque um e-mail ou uma mensagem lhe diz para o fazer. Só deve fazê-lo quando for você mesmo a iniciar o processo de início de sessão no seu próprio dispositivo.
- Vá com calma e leia as instruções. Apressar-se nas aprovações de início de sessão sem as ler com atenção pode sair caro.
- Desconfie de partilhas de documentos inesperadas. Teams convites ou pedidos de login, mesmo que utilizem páginas legítimas da Microsoft.
- Verifique quais os dispositivos que estão ligados à sua conta em https://account.microsoft.com/devices/. Se encontrar dispositivos ou sessões de início de sessão desconhecidos, elimine-os, altere a palavra-passe da sua conta Microsoft e reveja as suas definições de segurança.
Dica profissional: Malwarebytes Scam Guard pode ajudá-lo a descobrir se uma mensagem é uma fraude.
Sejamos sinceros, uma janela anónima tem as suas limitações.
Invasões de dados, comércio ilegal na dark web, fraudes com cartões de crédito. Malwarebytes Identity Theft Protection monitoriza tudo isto, alerta-o rapidamente e inclui seguro contra roubo de identidade.
