Os ciberatacantes estão a deixar de imitar as páginas de login da Microsoft e passaram a explorar a própria infraestrutura legítima de autenticação da Microsoft para obter acesso a ambientes Microsoft 365, o alerta é dado pela empresa espcializada em soluções de cibersegurança, Check Point, que referiu ter havido uma mudança significativa nas técnicas utilizadas em campanhas de phishing.
Os investigadores da Check Point identificaram, entre 25 de junho e a segunda semana de julho, mais de 200 emails de phishing dirigidos a utilizadores de aproximadamente 120 organizações, em vários setores e geografias.
A campanha maliciosa utilizava notificações de tarefas de Recursos Humanos enviadas através do Microsoft Teams e encaminhava as vítimas para uma página legítima de autenticação da Microsoft. Depois de iniciarem sessão, os utilizadores eram convidados a conceder permissões a uma aplicação controlada pelos ciberatacantes.
A Check Point refere que a diferença face ao phishing tradicional é particularmente relevante, a página de autenticação é verdadeira, o domínio da Microsoft é legítimo e todo o processo visual apresentado à vítima corresponde ao fluxo normal de autenticação da plataforma. O elemento malicioso está na aplicação que solicita as permissões e na intenção por detrás desse pedido.
Quando o phishing deixa de parecer phishing
O email utilizado na campanha imitava uma notificação do Microsoft Planner relacionada com uma tarefa atribuída ao utilizador. O nome do remetente surgia como “There’s New Activity On Team” e o assunto indicava que o departamento de Recursos Humanos da empresa tinha enviado três mensagens através do Teams.
No corpo da mensagem surgiam referências a atualizações relacionadas com salários, compensações e benefícios, juntamente com a indicação de quatro tarefas em atraso, elementos concebidos para gerar urgência e incentivar o utilizador a clicar rapidamente.
Todos os links na mensagem encaminhavam o destinatário através do mesmo redirecionamento. Além disso, o endereço visível do remetente correspondia ao da própria organização alvo, fazendo com que o email parecesse ter sido enviado internamente.
A campanha demonstra como os cibercriminosos procuram explorar precisamente os sinais que os utilizadores aprenderam a considerar como indicadores de confiança.
Ataque usa o sistema legítimo de autenticação da Microsoft
Depois de clicar no link, a vítima era encaminhada para um endereço legítimo de autorização OAuth em login.microsoftonline.com.
Após a autenticação, surgia um pedido para aprovar permissões ou aceitar o acesso em nome da organização. Caso o utilizador autorizasse a aplicação, a Microsoft redirecionava o navegador para o endereço definido pelos atacantes no pedido original.
Nesta campanha, esse endereço correspondia a um endpoint do AWS API Gateway controlado pelos atacantes.
O código de autorização, ou token, era então entregue a essa infraestrutura, permitindo ao atacante trocá-lo por acesso aos recursos autorizados pela vítima. O alcance do ataque dependia diretamente das permissões concedidas e do nível de privilégios da conta que as aprovava.
Uma abordagem que elimina vários dos sinais tradicionais associados ao phishing. Não existe necessariamente um domínio falso, uma página de login imitada ou um certificado suspeito. O utilizador interage com a verdadeira infraestrutura da Microsoft.
Uma técnica que já é reconhecida e acompanhada no framework MITRE ATT&CK e, como verificou a investigação da Check Point, tornou-se progressivamente mais acessível ao longo de 2026, passando de ataques direcionados e construídos manualmente para modelos que podem ser disponibilizados como serviço a outros cibercriminosos.
Do email ao Teams e SharePoint, o acesso pode abranger todo o Microsoft 365
Como descreve a Check Point, dependendo das permissões aprovadas pelo utilizador, uma aplicação controlada pelos atacantes pode conseguir operar em diferentes áreas do ambiente Microsoft 365 da vítima.
Entre os potenciais impactos a Check Point enumera ao seguintes:
• Email, leitura, pesquisa e envio de mensagens a partir da caixa de correio da vítima, criando também condições para ataques posteriores de Business Email Compromise a partir de um endereço interno legítimo;
• Ficheiros, acesso a documentos que o utilizador tenha permissões para abrir, descarregar ou partilhar;
• Microsoft Teams, acesso a conversas, mensagens em canais e comunicações partilhadas;
• SharePoint, acesso a sites empresariais, bibliotecas documentais e conteúdos internos;
• OneDrive, acesso ao armazenamento pessoal do utilizador na cloud;
• Calendário, acesso a reuniões, convites e informação sobre participantes, dados que podem ser utilizados para reconhecimento e preparação de ataques posteriores mais convincentes.
Setores industrial e de serviços profissionais entre os mais visados
■ Entre as organizações com localização identificável, 98,3% encontravam-se na América do Norte, 0,9% na Ásia e 0,9% na América Latina.
■ Nos setores identificados, a indústria representaram 19,3% das mensagens analisadas, com 39 emails enviados para 15 organizações.
■ Serviços jurídicos e profissionais representaram 13,9%, com 28 mensagens dirigidas a 21 organizações, enquanto organizações sem fins lucrativos e associações registaram 10,9%, com 22 emails dirigidos a 16 entidades.
■ Setor público e Administração pública representaram 8,9% dos emails analisados e o setor da saúde representou 6,9%.
■ Os restantes casos distribuíram se por outros setores de atividade.
Para os investigadores da Check Point na área do Email, esta campanha demonstra uma evolução importante do phishing, os ciberatacantes deixaram de tentar falsificar a porta de entrada da Microsoft e passaram a utilizar a porta verdadeira. Todos os ecrãs apresentados à vítima são legítimos, apenas a intenção da aplicação que solicita acesso é maliciosa.
Embora esta campanha específica já não esteja ativa, o caso ilustra como os ciberatacantes estão a alterar a forma como procuram ultrapassar tanto os mecanismos tradicionais de proteção contra phishing como a própria desconfiança dos utilizadores.
Para reduzir o risco a Check Point faz algumas recomendações
■ As organizações e utilizadores devem adotar algumas precauções adicionais perante emails que solicitem autenticação ou acesso a serviços empresariais.
■ Antes de clicar num link, é importante verificar o respetivo destino e confirmar se corresponde efetivamente ao serviço mencionado na mensagem. Deve existir especial atenção quando diferentes botões dentro do mesmo email encaminham para o mesmo endereço.
■ É importante confirmar se o nome do remetente, o endereço de email e o domínio utilizado são coerentes entre si. Nesta campanha, por exemplo, as mensagens aparentavam partir do endereço do próprio destinatário enquanto o nome apresentado fazia referência a atividade no Microsoft Teams.
■ Um email não deve ser considerado legítimo apenas porque parece ter origem num endereço interno. Nomes de remetentes e endereços podem ser falsificados ou manipulados.
■ Perante qualquer dúvida, é recomendável abrir diretamente o Microsoft Teams ou outra aplicação através da aplicação oficial ou de um endereço previamente conhecido, em vez de utilizar links recebidos por email.
■ As mensagens suspeitas devem ser reportadas de imediato às equipas de segurança. Uma identificação precoce permite investigar a aplicação envolvida, revogar consentimentos maliciosos, identificar contas afetadas e bloquear outras atividades relacionadas com a campanha maliciosa.
