A autenticação multifator (MFA) se tornou uma das principais barreiras contra invasões de contas corporativas. Mas, como mostram ataques recentes, até mesmo recursos legítimos desenvolvidos para reforçar a segurança podem ser explorados por criminosos quando combinados com engenharia social.
Um novo golpe utiliza o chamado código de dispositivo, recurso criado para facilitar o processo de autenticação em dispositivos com limitações de entrada de texto, para contornar mecanismos tradicionais de MFA e obter tokens de acesso válidos.
Segundo pesquisadores, os criminosos não precisam descobrir a senha da vítima. Em vez disso, convencem o próprio usuário a concluir uma autenticação legítima, enquanto o invasor utiliza o fluxo para obter acesso à conta.
O resultado pode ser especialmente perigoso em ambientes corporativos: depois de obter os tokens, os criminosos conseguem manter o acesso às contas, registrar novos dispositivos e acessar informações e serviços sem necessariamente despertar suspeitas imediatas.
O ataque começa, geralmente, com uma abordagem de engenharia social.
Os criminosos podem iniciar uma conversa simulando uma oportunidade comercial, parceria ou prestação de serviços. Depois de estabelecer algum nível de confiança, enviam um link que aparenta ser legítimo.
Para aumentar a credibilidade da abordagem e dificultar a detecção, os invasores podem utilizar serviços confiáveis, como o Google Sites, para hospedar ou redirecionar a vítima para uma página que simula uma etapa de verificação.
É nesse momento que o golpe começa a explorar o fluxo legítimo de autenticação.
A vítima recebe um código curto e é orientada a inseri-lo em uma página oficial de login da Microsoft. Como a página é realmente legítima e a própria vítima está realizando a autenticação, o processo pode ser validado normalmente.
O problema está no que acontece nos bastidores.
O código havia sido solicitado anteriormente pelo servidor controlado pelos criminosos. Ao inserir o código, a vítima acaba autorizando uma sessão iniciada pelo próprio invasor.
Em outras palavras: o usuário não entrega sua senha. Ele entrega, sem perceber, uma autorização de acesso.
A principal característica desse tipo de golpe é justamente o fato de ele não depender de uma vulnerabilidade tradicional no sistema.
Não é necessário invadir diretamente a plataforma de autenticação ou quebrar a MFA. O criminoso manipula o usuário para que ele próprio participe do processo de autenticação.
É uma exploração da confiança.
De acordo com os pesquisadores da Trend Micro, o chamado phishing de código de dispositivo demonstra como os invasores estão explorando cada vez mais a interação entre recursos legítimos, identidade e comportamento humano.
O ataque combina:
Essa combinação torna a ameaça particularmente difícil de identificar apenas com mecanismos tradicionais de proteção.
Um dos pontos mais preocupantes desse tipo de ataque é que o criminoso não precisa necessariamente conhecer a senha da vítima para continuar utilizando a conta.
Ao obter um token de acesso válido, o invasor pode conseguir acesso a recursos autorizados para aquele usuário, dependendo das políticas e configurações do ambiente.
Isso pode permitir que o atacante:
Em um ambiente corporativo, uma única conta comprometida pode representar muito mais do que o acesso à caixa de entrada de um funcionário.
Se aquela identidade possuir permissões elevadas ou acesso a sistemas críticos, o impacto pode se multiplicar.
É importante destacar que ataques como esse não significam que a autenticação multifator deixou de ser eficaz.
Pelo contrário. A MFA continua sendo uma das principais medidas para reduzir o risco de comprometimento de credenciais.
O problema é acreditar que a simples ativação da MFA encerra o risco relacionado à identidade.
Os ataques atuais estão cada vez mais direcionados para o comportamento do usuário e para os processos que acontecem depois da autenticação.
Por isso, as organizações precisam trabalhar com uma estratégia mais ampla, que considere quem está acessando, de onde, com qual dispositivo, quais permissões possui e quais comportamentos apresenta após a autenticação.
A prevenção começa pela combinação de tecnologia, políticas e conscientização.
As organizações devem verificar se esse fluxo é realmente necessário em seu ambiente. Quando não houver uma necessidade legítima, o recurso pode ser restringido ou bloqueado.
Os colaboradores precisam entender que uma solicitação de autenticação inesperada pode representar uma tentativa de comprometimento da conta.
Não basta orientar o usuário a "não clicar em links suspeitos". É necessário mostrar como ataques modernos utilizam páginas legítimas, processos reais e situações aparentemente normais para induzir a vítima ao erro.
A detecção de comportamentos anômalos é fundamental.
Novos dispositivos, alterações inesperadas, acessos fora do padrão e atividades incompatíveis com o comportamento habitual do usuário podem indicar que uma identidade foi comprometida.
Quanto maior o número de permissões associadas a uma identidade, maior pode ser o impacto de um comprometimento.
Por isso, o princípio do menor privilégio deve fazer parte da estratégia de segurança, garantindo que cada usuário tenha apenas os acessos necessários para desempenhar suas funções.
A segurança de identidade não deve funcionar de maneira isolada.
É importante correlacionar informações de autenticação, usuários, dispositivos e atividades para identificar comportamentos suspeitos e responder rapidamente a possíveis incidentes.
O phishing de código de dispositivo mostra uma mudança importante no cenário de ameaças.
Os criminosos não estão necessariamente tentando quebrar os mecanismos de segurança. Em muitos casos, eles procuram usar os próprios mecanismos de segurança contra as organizações.
Por isso, proteger identidades exige uma abordagem que vá além da senha e da autenticação multifator.
É necessário controlar privilégios, acompanhar acessos, identificar comportamentos suspeitos e garantir que as identidades certas tenham acesso aos recursos certos, no momento certo.
Uma identidade comprometida pode ser o primeiro passo para uma invasão muito maior.
Com uma estratégia de Gestão de Identidade e Acessos, sua empresa pode fortalecer o controle sobre usuários, permissões e privilégios, reduzir riscos relacionados a acessos indevidos e aumentar a visibilidade sobre quem acessa os recursos corporativos.
Quer entender como fortalecer a segurança das identidades e dos acessos da sua empresa? Fale com a equipe da Brasiline e conheça nossa solução de Gestão de Identidade e Acessos
Deepfakes já enganam 90% dos brasileiros no trabalho
Os ataques externos continuam crescendo, mas os riscos internos já exigem a mesma atenção
