Se você aprendeu que “basta conferir para onde o link aponta” para evitar golpes, prepare-se para rever esse conselho. A Microsoft identificou campanhas de phishing que aproveitam um comportamento legítimo do protocolo OAuth 2.0 para enganar usuários – inclusive quando o link exibe domínios confiáveis como entra.microsoft.com ou accounts.google.com. O clique parece inofensivo, mas termina em sites controlados por criminosos e, em alguns casos, instala malware com potencial de evoluir para ransomware.
Como o golpe se desenrola
O ataque começa com um e-mail de aparência rotineira: convites para assinar documentos, avisos de RH, reuniões no Teams ou solicitações de redefinição de senha. O link embutido – ou um PDF em anexo – conduz a um endpoint de autorização OAuth legítimo, porém recheado de parâmetros quebrados de propósito.
Entre eles está o prompt=none, que força uma autenticação silenciosa sem tela de login, combinado a um scope inválido. O resultado esperado é falha; e, segundo o padrão OAuth, quando isso acontece o provedor (Microsoft Entra ID ou Google Workspace) redireciona o navegador para uma Redirect URI. É justamente aí que o atacante registra um endereço malicioso e assume o controle da sessão.
Por que a técnica é tão eficiente?
Segundo analistas da Greyhound Research, o truque desloca a “cama de gato” do brand spoofing para a própria lógica de fluxo de autenticação. O primeiro passo da navegação é 100% legítimo, reforçando a confiança do usuário: o navegador e o provedor de identidade se comportam como deveriam. O golpe, portanto, burla o tradicional “conferir o domínio” e atinge também quem já não clica em URLs suspeitas.
O que acontece após o clique?
Em um dos casos estudados, a vítima recebe um arquivo ZIP que esconde um atalho (.lnk). Ao abrir, um script PowerShell realiza reconhecimento do sistema e se conecta a um servidor controlado pelo invasor – comportamento típico de pré-ransomware. Outros ataques encaminham o usuário para frameworks de adversary-in-the-middle, como EvilProxy, capazes de roubar credenciais e cookies de sessão.
Impacto prático: do gamer ao home office
Se você é entusiasta de hardware ou profissional que depende de acessos rápidos a e-mails de confirmação de compras, notas fiscais ou licenças de software, o prejuízo vai além da perda de credenciais. Um sequestro de sessão pode resultar em:
- Interceptação do código de resgate de GPU ou jogos recém-comprados.
- Compra não autorizada de periféricos no cartão salvo em sua conta Amazon.
- Bloqueio de serviços críticos, atrasando entregas ou streams.
Boas práticas recomendadas pela Microsoft e especialistas
1. Nunca inicie a autenticação por links não solicitados. Abra o app ou o site manualmente.
2. Reforce a governança de aplicativos OAuth. Revise permissões, revogue apps sem uso e limite o consentimento de terceiros.
Imagem: Gyana Swain
3. Treine o time para validar contexto, não apenas URL. Pergunte: “Eu esperava esta solicitação? Faz sentido para minha rotina agora?”
4. Facilite a denúncia de fluxos suspeitos. Quanto mais rápido o time de TI for avisado, menor o estrago.
5. Acompanhe indicadores de comprometimento. A Microsoft publicou 16 IDs de cliente e uma lista de URIs iniciais para caça a ameaças via Microsoft Defender XDR.
Próximos passos da Microsoft
A empresa já desabilitou diversos aplicativos OAuth maliciosos, mas admite que novas variantes estão ativas e exigem monitoramento contínuo. A recomendação é auditar regularmente os registros de aplicativos, verificar redirect URIs e endurecer políticas de consentimento, principalmente em ambientes onde o uso de SaaS cresce mais rápido que a governança de identidade.
Enquanto provedores, pesquisadores e admins correm para tapar brechas, a lição ao usuário entusiasta de tecnologia é clara: desconfie até mesmo de links “perfeitos” e mantenha seu ecossistema – de periféricos gamers a estações de trabalho – protegido com autenticação multifator e políticas rígidas de acesso.
Com informações de Computerworld
