Campanhas de phishing direcionadas a usuários do Microsoft 365 estão se tornando mais difíceis de detectar, à medida que os atacantes dependem cada vez mais da infraestrutura legítima de autenticação da Microsoft em vez de páginas de login falsificadas. Segundo new research from Check Point , a mudança permite que os agentes de ameaça se aproveitem da confiança que os usuários depositam nos serviços da Microsoft, evitando muitos dos indicadores tradicionalmente associados a sites de phishing.
Em vez de tentar roubar nomes de usuário e senhas por meio de páginas falsas de login, as campanhas observadas abusam do processo de autenticação por código de dispositivo da Microsoft, um recurso projetado para dispositivos que não conseguem exibir facilmente uma interface de login completa ou aceitar entradas complexas de usuários. Como as vítimas são direcionadas para domínios autênticos da Microsoft durante o processo de login, é menos propenso a questionar o pedido, e os controles de segurança que dependem da identificação de sites fraudulentos podem ter menos oportunidades de intervir.
A Check Point descobriu que os atacantes entram primeiro em contato com potenciais vítimas por meio de e-mails de phishing elaborados para parecer comunicações comerciais legítimas. Em vez de pedir aos destinatários que verifiquem uma conta ou redefinissem uma senha, as mensagens os incentivam a completar o que parece ser uma etapa rotineira de autenticação. A vítima é instruída a inserir um código do dispositivo pelo portal genuíno de login da Microsoft, autorizando sem saber uma sessão iniciada pelo atacante em vez de uma associada ao próprio dispositivo.
Uma vez concedida a aprovação, o atacante pode obter tokens de autenticação que fornecem acesso ao ambiente Microsoft 365 da vítima sem precisar da senha da conta. Dependendo das permissões concedidas e da configuração da conta, esse acesso pode permitir que o ator da ameaça visualize e-mails, interaja com recursos em nuvem e mantenha o acesso até que os tokens emitidos expirem ou sejam revogados.
A pesquisa destaca como essa técnica difere do phishing convencional. Em vez de derrotar a capacidade do usuário de reconhecer um site falso, os atacantes exploram um recurso legítimo exatamente como ele foi projetado para operar, tornando o componente de engenharia social do ataque muito mais importante do que o engano técnico. Como resultado, os usuários podem acreditar que estão completando um login normal da Microsoft porque toda página que encontram pertence à Microsoft.
Segundo a Check Point, o uso crescente de serviços confiáveis em nuvem em operações de phishing reflete uma evolução mais ampla do cibercrime. À medida que as organizações melhoram sua capacidade de detectar domínios falsificados e portais de login clonados, os atacantes estão cada vez mais migrando para abusar de plataformas legítimas e fluxos de trabalho de autenticação para alcançar o mesmo objetivo, reduzindo a probabilidade de detecção.
Os pesquisadores recomendam que as organizações aumentem a conscientização sobre o phishing por código de dispositivo entre os funcionários e monitorem de perto a atividade de autenticação para autorizações inesperadas de dispositivos. Os usuários devem ter cautela sempre que receberem solicitações não solicitadas para inserir um código de dispositivo, mesmo que a página de login esteja hospedada em um domínio Microsoft autêntico. As equipes de segurança também devem revisar eventos de autenticação baseados em tokens e investigar atividades incomuns de autorização, já que a ausência de um site falso não garante mais que uma solicitação de login seja legítima.