O roubo de contas Microsoft eGoogleganhou uma nova dimensão com uma campanha dephishingque explora o interesse crescente porinteligência artificial. Em vez de utilizar apenas mensagens fraudulentas e páginas falsas de login, criminosos estão promovendo supostos eventos exclusivos de empresas como OpenAI, SpaceX e Anthropic, oferecendo acesso gratuito a serviços premium de IA para convencer funcionários a entregar o controle de suas contas corporativas.
A campanha combina duas plataformas de Phishing-as-a-Service (PhaaS), chamadas Kali365 e VoidProxy, que utilizam técnicas diferentes para comprometer contas Microsoft e Google. Uma delas explora o fluxo legítimo de autenticação por código de dispositivo do OAuth 2.0, enquanto a outra funciona como um proxy reverso capaz de interceptar credenciais, respostas de autenticação multifator e cookies de sessão. O resultado é uma operação que pode comprometer até contas protegidas por MFA.
Identificada pela equipe de pesquisa da Push Security no final de outubro de 2026, a operação demonstra como os ataques corporativos estão evoluindo. O problema não está apenas na capacidade de criar páginas convincentes, mas na utilização de serviços legítimos e mecanismos de autenticação reais para contornar mecanismos tradicionais de proteção. Para administradores de sistemas e equipes de segurança, compreender essa combinação é fundamental para evitar o comprometimento do Microsoft Entra ID e do Google Workspace.
A isca irresistível: como webinars e recompensas de IA atraem funcionários
A engenharia social é o primeiro componente dessa campanha. Os criminosos perceberam que o interesse por ferramentas avançadas de inteligência artificial representa uma oportunidade para atrair profissionais que desejam experimentar novos recursos, participar de apresentações exclusivas ou obter acesso gratuito a serviços normalmente pagos.
Uma das páginas fraudulentas reproduz a identidade visual de eventos da OpenAI Academy, promovendo uma transmissão intitulada ChatGPT for Social & Digital Marketing Teams. A promessa é oferecer três meses de ChatGPT Pro aos participantes.
Outra página utiliza a marca da SpaceX para divulgar um suposto encontro privado chamado Starship Product Briefing, relacionado ao uso de inteligência artificial em marketing. Nesse caso, os visitantes recebem a promessa de três meses de Grok Heavy ou até mesmo uma suposta participação acionária da empresa.
Também foram identificadas páginas que imitavam eventos da Anthropic, incluindo uma apresentação relacionada ao AWS re:Invent 2026.
O elemento mais importante dessas páginas é a exigência de autenticação corporativa. Para participar do evento ou reivindicar a recompensa, o visitante precisa selecionar uma das opções de acesso oferecidas: Continue with Microsoft ou Continue with Google.
Essa exigência parece plausível em um ambiente empresarial. Muitos eventos realmente utilizam autenticação para controlar inscrições, identificar participantes e restringir conteúdos. Entretanto, nesse caso, o procedimento serve para entregar o acesso às contas dos funcionários aos operadores da campanha.
A distribuição também utiliza recursos que dificultam a identificação antecipada do golpe. Os pesquisadores observaram links encurtados por serviços legítimos do Google e do Zapier, além de referências a convites enviados pela infraestrutura do GoTo Webinar e páginas legítimas de eventos do Zoom em campanhas anteriores.
Antes de apresentar o conteúdo fraudulento, os sites podem exibir um Cloudflare CAPTCHA, solicitando que o visitante confirme que não é um robô.
Essa etapa tem uma finalidade adicional: dificultar a análise automatizada realizada por mecanismos de segurança. Algumas ferramentas de varredura não conseguem ultrapassar o desafio e acabam sem visualizar a página maliciosa que seria apresentada a um usuário real.
Consequentemente, um link aparentemente confiável pode conduzir a uma infraestrutura criminosa que permanece parcialmente invisível para determinados sistemas de inspeção.
O ecossistema PhaaS: kits ZoomMock e MSDRoot em ação
A investigação identificou dois kits utilizados na construção das páginas fraudulentas: ZoomMock e MSDRoot.
Essas ferramentas são diferentes das plataformas Kali365 e VoidProxy. ZoomMock e MSDRoot são utilizados pelos operadores para construir e distribuir as páginas falsas de eventos, enquanto Kali365 e VoidProxy fornecem os mecanismos especializados de captura de autenticação.
O ZoomMock foi observado em campanhas anteriores, principalmente entre maio e outubro de 2026, com páginas que imitavam eventos do Zoom. Posteriormente, o MSDRoot apareceu em novas operações, incluindo páginas relacionadas à Anthropic, OpenAI e SpaceX.
Os pesquisadores encontraram infraestrutura compartilhada entre os dois kits e padrões semelhantes de direcionamento. Isso sustenta a avaliação de que podem estar relacionados aos mesmos operadores, embora não demonstre que compartilhem o mesmo código ou desenvolvimento.
A utilização de serviços legítimos de videoconferência e webinars aumenta a credibilidade das mensagens. Um convite recebido por meio de uma plataforma conhecida não significa necessariamente que o evento anunciado seja legítimo.
Esse é um dos principais desafios para a segurança corporativa: a confiança em um serviço legítimo pode ser explorada para conduzir a vítima até uma página controlada por criminosos.
Mecânica técnica: como Kali365 e VoidProxy permitem o roubo de contas Microsoft e Google
O diferencial dessa campanha está na combinação de duas técnicas que atacam diferentes etapas do processo de autenticação.
O Kali365 explora o fluxo de autorização por código de dispositivo, enquanto o VoidProxy utiliza a técnica conhecida como Adversary-in-the-Middle (AiTM), funcionando como intermediário entre o usuário e o serviço legítimo de autenticação.
As duas abordagens demonstram por que depender exclusivamente de senhas fortes e códigos temporários de autenticação multifator já não é suficiente para proteger ambientes corporativos.
Abuso do OAuth e Device Code Flow pelo Kali365
O primeiro mecanismo é conhecido como Device Code Phishing. Ele explora o Device Authorization Grant, definido pelo OAuth 2.0, um fluxo legítimo criado para permitir que dispositivos com interfaces limitadas realizem autenticação.
Esse mecanismo é utilizado, por exemplo, em dispositivos que não possuem um teclado convencional ou navegador completo. O usuário recebe um código, acessa uma página oficial de autenticação e autoriza a conexão do dispositivo.
O problema surge quando criminosos manipulam esse procedimento.
Na campanha identificada, a página falsa do evento solicita ao Kali365 a geração de um código de autenticação associado a uma sessão controlada pelos atacantes.
Em seguida, o visitante recebe instruções para copiar esse código e acessar a página legítima de autenticação da Microsoft.
O processo acontece da seguinte maneira:
- Geração do código: a infraestrutura do Kali365 solicita um código de dispositivo e prepara uma sessão de autenticação controlada pelo atacante.
- Engenharia social: a página fraudulenta apresenta o código ao funcionário, simulando uma etapa necessária para confirmar sua inscrição no evento.
- Autenticação legítima: a vítima acessa o domínio verdadeiro da Microsoft, informa o código e realiza o procedimento de login.
- Autorização da sessão: se o usuário concluir a autenticação e aprovar a solicitação, incluindo a MFA quando exigida, a Microsoft autoriza a sessão associada ao dispositivo controlado pelo criminoso.
- Obtenção dos tokens: o operador recebe os tokens de autenticação emitidos para a sessão, permitindo acessar os recursos autorizados.
Existe uma particularidade importante: a vítima não precisa digitar sua senha em uma página falsa para que o ataque funcione. Ela pode realizar todo o procedimento em um domínio legítimo da Microsoft, acreditando que está apenas confirmando sua participação em um evento.
Isso também explica por que a técnica consegue contornar determinadas proteções baseadas na detecção de páginas falsas de login.
O ataque não representa uma quebra criptográfica do OAuth nem significa que a MFA deixou de funcionar. O usuário pode concluir corretamente a autenticação multifator, mas acaba autorizando uma sessão que pertence ao atacante.
Na campanha investigada, existe ainda uma segunda etapa. Depois da autenticação por código de dispositivo, a vítima é direcionada para uma página do VoidProxy que imita o login da Microsoft. Nesse estágio, os criminosos tentam capturar também a senha e o cookie de sessão.
Interceptação via Adversary-in-the-Middle (AiTM) com o VoidProxy
O segundo componente é o VoidProxy, uma plataforma PhaaS que utiliza a técnica Adversary-in-the-Middle.
Diferentemente de um phishing tradicional, no qual o criminoso simplesmente reproduz uma página de login para coletar informações digitadas, um proxy reverso AiTM estabelece uma comunicação intermediária entre a vítima e o serviço verdadeiro.
Na prática, o navegador do funcionário interage com a infraestrutura controlada pelo atacante, que encaminha as solicitações ao Google ou à Microsoft e reproduz as respostas recebidas.
Isso permite acompanhar praticamente todo o processo de autenticação.
Quando o funcionário informa seu endereço corporativo e sua senha, os dados passam pela infraestrutura intermediária. Se o serviço solicitar uma confirmação adicional, como um código de autenticação ou uma aprovação de MFA, o proxy também poderá interceptar essa etapa.
Depois que a autenticação é concluída, o mecanismo pode capturar o cookie de sessão, que representa uma sessão já autenticada.
Esse detalhe é especialmente perigoso porque o cookie pode permitir que o criminoso utilize a sessão sem precisar repetir imediatamente o processo de login.
Na variante direcionada ao Google, o visitante abre uma janela de autenticação que apresenta uma página intermediária controlada pelo VoidProxy. A infraestrutura retransmite as solicitações ao serviço legítimo e captura credenciais, respostas de MFA e cookies de sessão.
No caso da Microsoft, o VoidProxy aparece como uma segunda etapa depois da exploração do código de dispositivo pelo Kali365.
Portanto, mesmo que uma organização utilize autenticação multifator baseada em aplicativos autenticadores ou códigos temporários, a proteção pode ser insuficiente contra esse tipo de interceptação.
A MFA tradicional protege o processo de autenticação, mas não necessariamente impede o roubo de uma sessão já autenticada.
Impacto prático nos serviços integrados corporativos
O comprometimento de uma conta corporativa Microsoft ou Google pode representar um problema muito maior do que a perda de acesso a uma caixa de entrada.
Em muitas empresas, essas identidades funcionam como a principal porta de entrada para dezenas de serviços integrados por meio de Single Sign-On (SSO).
Dependendo das permissões, dos aplicativos autorizados e dos tokens obtidos, uma conta comprometida pode permitir acesso a plataformas como:
- Microsoft 365 e Google Workspace: e-mails, documentos, arquivos compartilhados e informações internas.
- Salesforce: dados comerciais, informações de clientes e registros de relacionamento.
- Slack: conversas corporativas, arquivos e informações operacionais.
- Atlassian: projetos, documentação técnica, tarefas e ambientes de desenvolvimento.
- SAP: sistemas empresariais e informações administrativas, conforme as permissões disponíveis.
- Dropbox e outros repositórios: documentos internos, contratos e arquivos confidenciais.
É importante destacar que o comprometimento de uma conta não concede automaticamente acesso irrestrito a todos esses serviços. A extensão da invasão depende dos aplicativos conectados, das permissões concedidas, dos escopos dos tokens e das políticas de identidade implementadas pela organização.
Entretanto, o acesso inicial pode ser suficiente para iniciar uma operação de movimentação lateral, procurar informações sensíveis e identificar outras contas que possam ser comprometidas.
Os criminosos também podem utilizar o acesso ao e-mail corporativo para realizar fraudes financeiras, enviar mensagens fraudulentas em nome de funcionários legítimos, redefinir senhas de outros serviços e preparar novos ataques contra parceiros comerciais.
Outro risco envolve a persistência. A obtenção de tokens e sessões pode permitir que o invasor continue acessando determinados recursos mesmo depois de uma alteração de senha, dependendo do tipo de token, da validade da sessão e dos mecanismos de revogação disponíveis.
Por isso, o roubo de credenciais da Microsoft e o sequestro de sessões do Google devem ser tratados como incidentes de identidade corporativa, e não simplesmente como ocorrências isoladas de phishing.
Como administradores de TI e usuários podem mitigar o risco
A campanha envolvendo Kali365 e VoidProxy reforça a necessidade de abandonar a ideia de que uma senha forte acompanhada de autenticação multifator representa proteção suficiente.
A primeira medida recomendada é avaliar o uso do Device Code Flow no ambiente Microsoft Entra ID.
Se a organização não depende desse mecanismo, os administradores devem considerar seu bloqueio por meio das políticas de Acesso Condicional, utilizando as condições relacionadas aos fluxos de autenticação e restringindo o fluxo de código de dispositivo.
Essa configuração reduz a superfície de ataque, mas precisa ser avaliada antes da aplicação para evitar interrupções em dispositivos e aplicativos corporativos legítimos.
Outra medida fundamental é implementar autenticação resistente a phishing, preferencialmente utilizando chaves de segurança FIDO2 ou passkeys vinculadas ao domínio legítimo do serviço.
Diferentemente dos códigos temporários, essas tecnologias utilizam mecanismos criptográficos associados à origem do site. Isso dificulta significativamente a utilização de páginas intermediárias para roubar respostas de autenticação.
No ambiente Microsoft, as organizações também devem avaliar:
- Acesso Condicional: restringir autenticações conforme localização, risco, dispositivo e contexto de acesso.
- Políticas de autenticação: priorizar métodos resistentes a phishing e restringir métodos vulneráveis quando possível.
- Monitoramento do Entra ID: identificar autenticações incomuns, novos dispositivos registrados e concessões suspeitas de autorização.
- Proteção de sessões: avaliar recursos de proteção de tokens, controles de sessão e políticas de revogação.
- Auditoria de aplicativos: revisar permissões OAuth, consentimentos concedidos e dispositivos associados às contas.
No Google Workspace, é igualmente importante reforçar a proteção das contas com chaves de segurança, aplicar políticas de acesso contextual e acompanhar eventos de autenticação e sessões suspeitas.
As equipes de segurança também devem monitorar acessos originados de domínios desconhecidos, tentativas de autenticação incomuns e alterações inesperadas nos dispositivos associados aos usuários.
Caso exista suspeita de comprometimento, a resposta deve incluir a revogação das sessões e tokens aplicáveis, a redefinição das credenciais, a investigação de dispositivos registrados, a revisão das permissões OAuth e a análise dos serviços acessados pela identidade comprometida.
Por fim, a conscientização dos funcionários continua indispensável. Nenhum usuário deve inserir um código de dispositivo recebido de uma página desconhecida, mesmo quando a autenticação acontece em um domínio oficial da Microsoft.
Também é importante desconfiar de convites que condicionam o recebimento de recompensas, assinaturas premium ou acesso antecipado a ferramentas de IA à utilização de credenciais corporativas.
A campanha de phishing envolvendo OpenAI, SpaceX e Anthropic mostra que a identidade digital se tornou um dos principais alvos dos criminosos. Kali365 e VoidProxy demonstram como serviços legítimos de autenticação podem ser explorados para comprometer contas sem depender exclusivamente do roubo tradicional de senhas.
Para administradores de TI, a prioridade deve ser combinar autenticação resistente a phishing, restrições aos fluxos de autenticação desnecessários, monitoramento contínuo e políticas rigorosas de acesso.
FONTE: Matéria original