Cibercriminosos exploram processo de passkeys para invadir ambientes Microsoft 365
Criminosos digitais estão explorando o fluxo de cadastro de passkeys no Microsoft Entra para tomar o controle de contas corporativas e, a partir delas, acessar ambientes Microsoft 365. O ataque combina engenharia social por telefone com páginas falsas que reproduzem com alto grau de fidelidade o processo legítimo de configuração da Microsoft, enganando funcionários e abrindo caminho para acessos persistentes sem necessidade de senha.
A campanha tem sido associada ao grupo de ameaças UNC066, também conhecido como Pink, especializado em operações de intrusão que envolvem interação direta com as vítimas. Em vez de depender apenas de e-mails de phishing tradicionais, os atacantes adotam um modelo mais ativo: entram em contato por telefone, se passando por equipe de suporte de TI, segurança da informação ou até mesmo atendimento oficial da Microsoft.
Durante a ligação, os golpistas utilizam argumentos técnicos e um tom de urgência para pressionar o colaborador. Eles afirmam, por exemplo, que é necessário “atualizar o método de login”, “habilitar um novo recurso de segurança” ou “resolver um problema crítico de autenticação”. A narrativa é construída para que a vítima acredite estar fortalecendo a proteção da sua conta, quando na verdade está abrindo as portas para o atacante.
O funcionário é então orientado a acessar um endereço indicado pelo falso atendente. Esse site fraudulento foi criado para imitar a interface e o fluxo de cadastro de passkeys da Microsoft, incluindo logotipos, cores e telas muito semelhantes às originais. Sem perceber o risco, a vítima acredita que está apenas configurando uma forma mais moderna e segura de autenticação, baseada em chaves criptográficas em vez de senhas.
Enquanto o usuário segue as instruções na página falsa, o criminoso, em paralelo, inicia o procedimento real de inclusão de uma passkey na conta corporativa da vítima, dentro do ambiente verdadeiro do Microsoft Entra. Durante esse fluxo legítimo, a plataforma exibe códigos e solicita confirmações adicionais, que deveriam servir como barreira de segurança. Porém, esses mesmos códigos são exatamente o que o atacante precisa para concluir a operação.
Ao telefone, o golpista pede que o funcionário informe os códigos que aparecem na tela ou os insira diretamente nos campos apresentados pelo site falso. A vítima, acreditando estar em contato com o suporte oficial e em um processo autorizado, segue as orientações sem desconfiar. Cada código fornecido permite ao invasor avançar mais um passo no registro da sua própria passkey na conta da empresa.
Quando a passkey controlada pelo cibercriminoso é finalmente adicionada à conta, o cenário muda de forma crítica: o atacante passa a ter um método de autenticação confiável vinculado diretamente ao perfil da vítima. A partir desse momento, ele pode fazer login sem depender da senha do usuário nem de códigos temporários de autenticação multifator, o que dificulta muito a detecção imediata da invasão.
Com o acesso estabelecido, os invasores podem explorar todo o ecossistema ligado ao Microsoft Entra, dependendo dos privilégios associados à conta comprometida. Isso inclui e-mails corporativos, arquivos armazenados em serviços de nuvem, aplicativos internos, ferramentas de colaboração, agendas e até sistemas críticos integrados ao diretório da organização. Se a vítima possui permissões elevadas, o ataque pode rapidamente se transformar em um incidente de grande impacto.
Além da leitura de dados, os criminosos conseguem enviar mensagens em nome da vítima para outros colaboradores ou parceiros, ampliando a campanha e aumentando a superfície de ataque. Também podem alterar configurações, criar novos acessos, exfiltrar informações sensíveis, implantar malwares ou preparar movimentações laterais para alcançar outros sistemas internos da empresa.
Esse tipo de golpe demonstra como, mesmo tecnologias avançadas de autenticação, como passkeys, podem ser comprometidas quando o elemento humano é manipulado. A solução em si é segura do ponto de vista técnico, mas o processo de cadastro e recuperação se torna um ponto crítico quando a vítima é convencida a colaborar sem perceber. Em outras palavras: não é a passkey que falha, e sim o controle sobre quem está autorizando a associação dessa chave à conta.
Para reduzir o risco, é fundamental investir em conscientização dos funcionários. Colaboradores devem ser treinados para desconfiar de ligações inesperadas relacionadas a acessos, senhas, MFA ou “atualizações urgentes de segurança”. Uma regra prática importante é: equipes de TI ou suporte nunca devem solicitar códigos de autenticação ou aprovação de notificações em nome do usuário, muito menos orientar o uso de sites enviados por telefone ou chat.
As empresas também podem reforçar políticas internas claras: qualquer procedimento que envolva cadastro de novos métodos de login, troca de fatores de autenticação ou mudanças em mecanismos de segurança deve ser sempre iniciado pelo próprio colaborador a partir dos portais oficiais, nunca a partir de um contato recebido. Se alguém ligar alegando ser suporte, o funcionário deve encerrar a ligação e buscar o canal institucional verificado para confirmar.
Do ponto de vista técnico, administradores de identidade podem aplicar políticas mais restritivas para o registro de novos dispositivos e passkeys, como aprovação prévia por parte do time de TI, registros de auditoria detalhados e alertas em tempo real quando um novo fator de autenticação é adicionado. Monitorar atividades incomuns, como logins de origens geográficas atípicas ou horários fora do padrão do usuário, também é essencial.
Outro mecanismo importante é o uso de políticas de Acesso Condicional e o modelo de Zero Trust. Mesmo que uma passkey seja comprometida, o acesso a determinados aplicativos ou dados mais sensíveis pode exigir verificações adicionais, como conformidade do dispositivo, localização confiável ou autenticação extra para ações críticas. Assim, o invasor encontra mais barreiras ao tentar escalar privilégios ou movimentar-se lateralmente.
Equipes de segurança devem ainda estabelecer planos claros de resposta a incidentes envolvendo contas comprometidas. Ao identificar um possível abuso de passkey, é preciso revogar imediatamente todos os métodos de autenticação associados, forçar o reingresso seguro do usuário e revisar as atividades recentes daquela conta para identificar eventuais danos ou exfiltração de informações.
Outro ponto relevante é revisar periodicamente quem realmente precisa de altos privilégios dentro do ambiente Microsoft 365. Contas com acesso amplo a dados e configurações sensíveis devem ser minimizadas e protegidas com controles adicionais. Quanto menos usuários com perfil de alto risco, menor o impacto potencial de um golpe de engenharia social bem-sucedido.
Também é recomendável simular regularmente cenários de phishing por telefone e ataques de engenharia social, para medir o nível de maturidade dos colaboradores e ajustar treinamentos. Ao serem expostos a situações controladas que lembram esse tipo de ataque, os funcionários desenvolvem um senso de alerta mais refinado e tendem a questionar solicitações suspeitas no dia a dia.
Por fim, a adoção de ferramentas de Threat Intelligence com apoio de inteligência artificial pode ajudar a identificar, mais rapidamente, campanhas ativas, padrões de ataque e indicadores relacionados a grupos como o UNC066/Pink. Conhecer as táticas, técnicas e procedimentos desses operadores permite antecipar defesas, ajustar controles e reagir de forma mais eficiente quando sinais de comprometimento surgirem.
A combinação de tecnologia robusta, políticas claras, monitoramento contínuo e treinamento constante é o caminho mais eficaz para aproveitar os benefícios de soluções modernas como passkeys, sem se tornar presa fácil para cibercriminosos que exploram justamente o elo mais vulnerável da cadeia: o comportamento humano.