Phishing de passkey virou a nova chave da sua conta na nuvem: como criminosos se passam pelo suporte de TI para driblar o MFA

A Microsoft acaba de expor duas campanhas de ataque que devem preocupar qualquer pessoa que trabalha em ambiente corporativo na nuvem. A primeira inundou caixas de entrada com mais de um milhão de e-mails de golpe entre 3 e 5 de agosto de 2026, se passando por CEOs e inserindo assinaturas executivas falsas em faturas fabricadas, tudo para empurrar equipes de contas a pagar a fazer transferências ACH fraudulentas disfarçadas de renovação de assinatura do ServiceNow. A inteligência artificial generativa fez o trabalho pesado da redação, deixando as iscas muito mais convincentes do que os golpes desajeitados do passado.

A segunda campanha é o golpe no estômago. Desde maio de 2026, criminosos ligam e mandam mensagens para o celular pessoal de funcionários, se passando pelo suporte interno de TI e insistindo que a vítima precisa urgentemente recadastrar uma passkey, um método de MFA ou a configuração de SSO. As vítimas são redirecionadas para páginas falsas que imitam o login da Microsoft, onde fluxos de adversary-in-the-middle e autenticação por código de dispositivo entregam o controle total da conta sem uma única senha roubada. Já dentro do ambiente, os atacantes registram o próprio número de telefone ou autenticador como segundo fator e depois vasculham Microsoft Graph, SharePoint, OneDrive e Exchange por horas ou até dias, trocando de infraestrutura para fugir da detecção.

A conclusão é direta: passkeys e MFA só são tão fortes quanto a pessoa pressionada do outro lado da linha. Verifique toda solicitação não solicitada por um canal que você mesmo iniciou, e trate qualquer exigência urgente de redefinir credenciais como hostil até que se prove o contrário.