Atenção! Hackers estão explorando o código OAuth do dispositivo para aplicar golpes em usuários do Microsoft 365.

 Hackers estão abusando de um recurso legítimo de autenticação da Microsoft para invadir contas corporativas do Microsoft 365, mesmo quando a autenticação multifator está habilitada.

Pesquisadores de segurança alertam que invasores começaram a explorar o fluxo de autorização de dispositivos OAuth 2.0 da Microsoft, um processo projetado para dispositivos como smart TVs ou hardware de IoT com opções de entrada limitadas. Ao usar indevidamente esse fluxo de trabalho, os invasores podem obter acesso direto à conta sem roubar senhas ou interceptar códigos de autenticação multifator (MFA).

Como funciona o ataque de código de dispositivo OAuth

As campanhas de phishing visam enganar os usuários para que insiram um código de dispositivo na página de verificação legítima da Microsoft. As vítimas recebem mensagens que apresentam o código como uma senha de uso único ou uma solicitação de verificação urgente.

Assim que o usuário insere o código, o sistema da Microsoft autoriza um token de acesso para o invasor. Isso concede imediatamente o controle da conta da vítima, permitindo roubo de dados, movimentação lateral entre sistemas corporativos e acesso persistente e de longo prazo aos recursos da empresa.

Como o login ocorre em um domínio legítimo da Microsoft, muitas ferramentas tradicionais de detecção de phishing não conseguem sinalizar a atividade.

Campanhas generalizadas e atividades apoiadas pelo Estado

Pesquisadores da Proofpoint rastrearam múltiplos agrupamentos de ameaças usando essa técnica desde pelo menos setembro de 2025. Esses agrupamentos incluem tanto cibercriminosos com motivações financeiras quanto agentes alinhados a governos.

Dois conjuntos de ferramentas de phishing dominam essas campanhas:

• SquarePhish2, que inclui iscas baseadas em código QR.
• Graphish, que automatiza o processo de ataque de código de dispositivo OAuth

Grupos com motivações financeiras, como o TA2723, usam temas como atualizações salariais, avisos de benefícios e compartilhamento de documentos para atrair vítimas. A Proofpoint também identificou operações alinhadas à Rússia, incluindo a UNK_AcademicFlare, que utilizam métodos semelhantes.

Por que é tão difícil deter esse ataque?

Essa técnica evidencia uma mudança mais ampla no cibercrime. Em vez de roubar credenciais, os atacantes agora exploram os próprios fluxos de trabalho de autenticação modernos. Como a autenticação multifator (MFA) permanece tecnicamente "ativada", as organizações podem ignorar a violação até que ocorram danos significativos.

Especialistas alertam que as empresas devem monitorar de perto o uso do código OAuth em dispositivos, restringir fluxos de autenticação desnecessários e orientar os usuários a nunca inserir códigos de verificação não solicitados, mesmo em páginas de login legítimas.

É por isso que a Microsoft introduziu o plano "In Scope by Default" para detectar vulnerabilidades como essa mais rapidamente no futuro.

Via CSO Online