Ameaças recentes: as técnicas que estão furando ambientes Microsoft
Phishing assistido por IA, fadiga de MFA, ataques à cadeia de suprimentos e ransomware sem arquivo. O que mudou nas técnicas de ataque e qual controle do seu tenant responde a cada uma delas.
A conversa sobre ameaças cibernéticas costuma parar na descrição do ataque. É a parte interessante, mas é a parte inútil: saber que existe phishing com deepfake não muda nada no seu ambiente na segunda-feira. O que muda é saber qual controle específico do seu tenant Microsoft responde a cada técnica — e se ele está ligado.
Este texto percorre as técnicas que mais aparecem em incidentes de empresas brasileiras de médio porte e, para cada uma, aponta o controle correspondente no Microsoft 365, no Entra ID, no Defender ou no Intune. Se ao final você não souber dizer quais desses controles estão ativos na sua empresa, essa é a informação mais valiosa que você tira daqui.
1. Phishing e deepfakes assistidos por IA
O phishing malfeito acabou. Os textos não têm mais erro de português, o layout é idêntico ao do remetente legítimo e o contexto é específico — o atacante leu o LinkedIn da empresa e sabe quem aprova pagamento. A camada nova é o áudio e o vídeo: clonagem de voz de um diretor pedindo uma transferência urgente por WhatsApp, ou uma chamada em vídeo curta o suficiente para não deixar o artefato visual óbvio.
A defesa não é treinar o olho do usuário para achar o erro de digitação. É remover a possibilidade de o clique virar acesso.
Se um funcionário digitar a senha em uma página falsa hoje, o que acontece no seu ambiente? Se a resposta não for “nada, porque o acesso condicional bloquearia o login de qualquer forma”, o problema não é o phishing. É a configuração de identidade.
Controles que respondem:
- Acesso Condicional exigindo dispositivo compatível ou rede confiável, não apenas senha e código
- Métodos de autenticação resistentes a phishing (chave FIDO2, Windows Hello for Business, passkey) para contas privilegiadas
- Defender for Office 365 com Safe Links e Safe Attachments em modo de bloqueio, não só de auditoria
- SPF, DKIM e DMARC publicados com política de rejeição — impede que o domínio da sua empresa seja falsificado contra seus próprios clientes
- Processo escrito de dupla verificação para pagamento e mudança de dados bancários, por canal diferente do que originou o pedido
2. Fadiga de MFA e roubo de token de sessão
Muita empresa considera o assunto resolvido porque “tem MFA”. Duas técnicas passam por cima disso.
A primeira é a fadiga de MFA: o atacante já tem a senha e dispara dezenas de aprovações push até o usuário aceitar uma no meio de uma reunião, só para o celular parar de vibrar. A segunda é o roubo de token: um proxy reverso intercepta a autenticação inteira e captura o cookie de sessão já validado. O MFA foi feito corretamente — e não protegeu nada, porque o que o atacante levou foi a sessão pronta.
Controles que respondem:
- Number matching e contexto no Microsoft Authenticator (mostra local e aplicativo antes de aprovar)
- Proteção contra reprodução de token com vinculação ao dispositivo
- Políticas de risco do Entra ID Protection forçando reautenticação em login de risco elevado
- Redução da vida útil da sessão para perfis administrativos
- Alerta e revisão para concessão de consentimento a aplicativos por usuários finais
3. Ransomware que não deixa arquivo para o antivírus achar
A operação moderna de ransomware passa dias dentro do ambiente antes de criptografar qualquer coisa. Ela entra por uma credencial válida, usa ferramentas que já existem no sistema — PowerShell, WMI, ferramentas de administração remota legítimas — e só depois de mapear backup, identificar dado sensível e exfiltrar o que interessa é que dispara a criptografia. A extorsão dupla é a regra: pagar pela chave e pagar de novo para o dado não vazar.
Antivírus de assinatura não enxerga isso, porque tecnicamente não há malware — há um administrador fazendo tarefas de administrador. O que enxerga é detecção comportamental correlacionada entre identidade, endpoint e nuvem.
Controles que respondem:
- Defender for Endpoint com redução de superfície de ataque e proteção contra adulteração ativas
- Regras que bloqueiam execução de scripts ofuscados e criação de processo filho por aplicativo do Office
- Backup imutável, com cópia fora do domínio e restauração testada — backup nunca testado é hipótese, não plano
- Segmentação de privilégio: a conta que administra estação não administra servidor nem tenant
- Alerta de exfiltração para volume anômalo de download em SharePoint e OneDrive
4. Ataques pela cadeia de suprimentos e por terceiros
O elo mais fraco frequentemente não está na sua empresa. Está no fornecedor de software que tem um agente instalado nos seus servidores, no parceiro contábil que acessa seu ERP, no prestador que recebeu uma conta de convidado em 2023 e continua com ela ativa.
Vale o mesmo raciocínio para aplicativos de terceiros no seu tenant: um app aprovado uma única vez por um usuário pode manter permissão de leitura em todos os e-mails da empresa por tempo indeterminado, sem aparecer em lugar nenhum do dia a dia.
Controles que respondem:
- Revisões de acesso periódicas em contas de convidado e em grupos com permissão sensível
- Governança de consentimento: aplicativos de terceiros passam por aprovação administrativa
- Inventário de fornecedores com acesso lógico ao ambiente e prazo de validade em cada acesso
- Cláusula contratual de notificação de incidente com prazo definido
5. O dispositivo pessoal como porta lateral
Enquanto se discute firewall, o dado corporativo circula em celulares que ninguém inventariou. E-mail da empresa configurado no aparelho pessoal, planilha baixada para a pasta de downloads, documento compartilhado por aplicativo de mensagem. Não há malware envolvido — há ausência de fronteira entre o dado da empresa e o aparelho do funcionário.
Controles que respondem:
- Políticas de proteção de aplicativo do Intune: o dado corporativo fica em contêiner isolado, com bloqueio de copiar e colar para apps pessoais
- Exigência de dispositivo compatível no Acesso Condicional para chegar a e-mail e SharePoint
- Criptografia obrigatória e apagamento seletivo no desligamento ou na perda do aparelho
- Inventário confiável: você só protege o dispositivo que sabe que existe
O ponto em comum
Nenhuma das cinco técnicas depende de uma vulnerabilidade exótica. Todas dependem de um controle que existe na sua licença Microsoft e está desligado, mal configurado ou aplicado em apenas parte dos usuários. É exatamente isso que o Microsoft Secure Score mede — e é por isso que uma pontuação baixa é menos um indicador de segurança e mais um mapa do caminho que o atacante vai usar.
A recomendação prática: em vez de tentar responder a todas as ameaças de uma vez, abra o Secure Score, filtre pelos itens de identidade e resolva-os primeiro. Identidade é onde quase todo incidente começa.
Quer saber quais desses controles estão ativos no seu ambiente?
A auditoria gratuita da WebOps lê o seu Secure Score, os custos do Azure e a postura dos seus endpoints com acesso somente-leitura, e entrega um relatório com os achados priorizados por risco e esforço. O relatório é seu, contratando ou não.