Microsoft alerta sobre campanha de phishing após falha

Microsoft identifica campanha de phishing após instabilidade no serviço

A Microsoft divulgou um alerta sobre uma campanha coordenada de phishing que aproveita a instabilidade registrada na plataforma Microsoft 365 na quinta-feira (12) para tentar comprometer dados sensíveis de usuários corporativos. O phishing Microsoft representa um risco crescente para organizações que dependem dos serviços em nuvem da companhia.

A equipe de inteligência contra ameaças da Microsoft (Microsoft Threat Intelligence) revelou os detalhes da operação na sexta-feira (13), através da rede social X, descrevendo uma estratégia sofisticada que explora a confiança dos usuários em período de instabilidade dos sistemas.

Como funciona o golpe por email

Os criminosos responsáveis pela campanha enviam mensagens que imitam notificações oficiais da Microsoft, alegando falsamente que e-mails ficaram retidos durante o período de indisponibilidade do serviço. Segundo a comunicação dos fraudadores, essas mensagens serão permanentemente eliminadas em até 24 horas, caso o destinatário não execute uma ação imediata clicando em um link de recuperação.

A tática explora a urgência e o temor de perda de dados, fatores psicológicos frequentemente utilizados em esquemas de phishing para aumentar a taxa de conversão das vítimas. Os remetentes utilizam nomes que simulam legitimidade, como "Outage Notification" (Notificação de Interrupção) e "Service Health" (Integridade do Serviço), acompanhados de identificadores específicos de cada organização para aumentar o grau de credibilidade.

Características técnicas da campanha maliciosa

O golpe por email utiliza linhas de assunto padronizadas com o formato "Outage - [código de seis caracteres]", buscando replicar o padrão de comunicações técnicas legítimas. A Microsoft conseguiu identificar três domínios distintos utilizados como remetentes da campanha: moments-notice[.]com, planetmaison[.]com e newbooker[.]com.

O mecanismo de entrega inclui uma camada adicional de disfarce: os links contidos nas mensagens passam primeiramente pelo serviço SendGrid, plataforma legítima de envio de e-mails que é explorada para rastrear cliques e contabilizar vítimas potenciais. Após esse rastreamento, os usuários são redirecionados para o domínio reallifeaccounting[.]com, onde presumivelmente ocorre a tentativa de coleta de credenciais.

Organizações de diversos setores nos Estados Unidos foram alvo dessa campanha, indicando uma operação de escopo significativo e abrangência setorial.

Risco de roubo de dados e credenciais

A Microsoft classifica essa atividade como phishing, técnica criminosa na qual fraudadores se passam por empresas ou instituições confiáveis para enganar vítimas e obter informações sensíveis como senhas, tokens de autenticação e dados de acesso às contas corporativas. Esse tipo de ataque representa uma ameaça potencial não apenas aos dados individuais dos usuários, mas também à segurança de toda a infraestrutura de TI das organizações afetadas.

Contudo, a Microsoft ressalva que ainda não confirmou conclusivamente se houve sucesso na coleta de credenciais dos usuários ou na distribuição de programas maliciosos (malware) através dessa campanha específica. A empresa continua investigando a amplitude e os resultados reais da operação.

Recomendações de segurança da Microsoft

Para identificar possíveis vítimas e comprometimentos, a empresa recomenda que equipes de segurança investiguem metodicamente mensagens suspeitas e todos os links incluídos nelas. Uma das ferramentas indicadas para essa análise é o Microsoft Defender para Office 365, que permite examinar conteúdo de e-mails em detalhe e verificar se usuários clicaram em endereços potencialmente perigosos, gerando relatórios de exposição.

A Microsoft também recomenda a verificação e otimização da configuração do Safe Links, recurso de segurança que analisa links no momento exato em que são acessados pelos usuários, oferecendo proteção dinâmica contra endereços maliciosos e redirecionamentos fraudulentos. Esse mecanismo adiciona uma camada essencial de proteção mesmo quando um usuário clica inadvertidamente em um link suspeito.

Por fim, as orientações finais da empresa enfatizam que organizações devem investigar possíveis interações dos funcionários com as mensagens suspeitas e, crucialmente, confirmar qualquer informação sobre interrupções do Microsoft 365 diretamente no centro de administração oficial do serviço, em vez de confiar em links ou notificações recebidas por e-mail, independentemente do grau de autenticidade aparente.