Criminosos estão ligando para o seu celular pessoal para sequestrar sua conta Microsoft 365

Esqueça o phishing por e-mail de sempre. Pesquisadores de segurança da Microsoft acompanham desde maio de 2026 uma campanha em que os atacantes simplesmente ligam para o celular pessoal dos funcionários se passando pelo time interno de TI. Eles criam uma urgência falsa sobre uma atualização de passkey, MFA ou single sign-on que precisa acontecer imediatamente e enviam um link que abre uma página de login da Microsoft idêntica à original, mas totalmente falsa.

Basta uma credencial cair para os invasores se instalarem de vez. Eles registram o próprio número de telefone, aplicativo autenticador ou token de senha única sob a identidade da vítima, criando o que a Microsoft chama de mecanismo de persistência duradoura, capaz de sobreviver muito depois de a sessão roubada expirar. A partir daí, exploram silenciosamente o Microsoft Graph para mapear contas, papéis de administrador e aplicativos conectados, e depois drenam arquivos do SharePoint, OneDrive e Exchange Online em um ritmo calculado, mantendo o volume abaixo de mil itens por hora para não disparar alarmes.

O mais assustador é como sobra pouca evidência. Como o primeiro contato costuma acontecer em um celular pessoal sem gestão corporativa, os investigadores às vezes só têm a memória do funcionário sobre a ligação. A Microsoft atribui a atividade a grupos como Storm-3121 e Storm-3032, que alimentam operações de extorsão como ShinyHunters, Falcon e Helix. Se a sua empresa ainda depende de códigos por SMS e aprovações por telefone, este é o alerta: migre para MFA resistente a phishing, exija dispositivos gerenciados e aprove manualmente cada novo consentimento de aplicativo antes que a próxima ligação chegue.