Campanha criminosa usa IA para automatizar ataques em larga escala
Uma nova onda de ataques de phishing está explorando recursos legítimos de autenticação e inteligência artificial para comprometer contas corporativas em grande escala. Pesquisadores da Microsoft Defender Security Research identificaram uma campanha que abusa do fluxo de autenticação por código de dispositivo (device code), combinando automação massiva e e-mails personalizados com IA generativa para aumentar a taxa de sucesso das invasões.
Em vez de tentar “quebrar” senhas ou explorar vulnerabilidades tradicionais, os criminosos passaram a focar em algo muito mais valioso: identidades válidas e sessões legítimas.
EvilTokens: identidade como principal superfície de ataque
Bill Legue, threat hunter líder da AppOmni, classifica essa campanha, conhecida como EvilTokens, como um exemplo claro de uma mudança estrutural no cibercrime voltado a SaaS e serviços em nuvem. Segundo ele, os invasores já não estão, prioritariamente, tentando invadir sistemas pela força bruta ou explorando falhas óbvias. Eles estão, cada vez mais, apenas “fazendo login” com credenciais válidas ou sessões autorizadas.
Nessa lógica, a identidade do usuário se torna a principal superfície de ataque. Tokens de acesso e de atualização – os mesmos que permitem manter sessões ativas sem exigir senhas o tempo todo – passam a ser o novo mecanismo de persistência dos invasores. Em vez de instalar malware ruidoso, o criminoso se ancora em tokens legítimos, emitidos por provedores confiáveis, e permanece “invisível” dentro do ambiente corporativo.
Legue alerta que, com acesso válido, muitos dos controles de segurança tradicionais deixam de ser eficazes. Firewalls, antivírus e outras barreiras perimetrais pouco podem fazer quando o ataque ocorre por meio de um login aparentemente legítimo, usando métodos suportados pela própria infraestrutura da organização.
Por isso, ele defende uma mudança de mentalidade: as equipes de segurança precisam pensar em contenção contínua e redução de risco, não apenas em bloqueio inicial. Isso inclui restringir fluxos como o de código de dispositivo, revogar sessões suspeitas de forma agressiva e validar identidade o tempo todo, e não apenas na hora do login.
O que é o fluxo de código de dispositivo (device code)
O fluxo de código de dispositivo é um mecanismo legítimo do OAuth, pensado para aparelhos com interfaces limitadas, como smart TVs, consoles de jogos, caixas de mídia e dispositivos IoT. Nesses cenários, digitar usuário, senha e segundo fator diretamente no dispositivo é pouco prático.
Para resolver isso, o fluxo funciona assim:
1. O dispositivo exibe um código curto e, às vezes, uma URL.
2. O usuário acessa essa URL em outro equipamento com navegador (computador ou celular).
3. No navegador, ele insere o código e faz a autenticação (inclusive MFA, se houver).
4. Uma vez confirmada a identidade, o servidor autoriza o dispositivo original, que passa a ter acesso ao recurso solicitado.
Em ambientes corporativos, esse fluxo é largamente usado de forma legítima e segura. O problema surge quando criminosos encontram maneiras de se apropriar desse processo e fazer o usuário autorizar, sem perceber, a sessão controlada pelo atacante.
Como os criminosos distorcem um recurso legítimo
Na campanha observada pela Microsoft, os invasores iniciam o fluxo de código de dispositivo em seus próprios sistemas, obtendo o código que deveria ser exibido em um aparelho confiável. Em seguida, esse código é enviado à vítima por meio de e-mails de phishing.
O conteúdo da mensagem é manipulado para parecer urgente e legítimo: avisos de segurança, supostos bloqueios de conta, pedidos de confirmação de login ou notificações de acesso incomum. A vítima, acreditando estar protegendo seu acesso, clica no link, é direcionada para uma página de inserção de código e, ao digitá-lo, na prática, autoriza a sessão do criminoso.
Do ponto de vista do sistema de autenticação, tudo parece correto: um usuário legítimo, em um navegador comum, inserindo um código válido e passando pelo fluxo esperado. Por isso, a detecção baseada apenas em anomalias técnicas é muito mais difícil.
Automação massiva com plataformas de orquestração
Para escalar o ataque, os criminosos recorreram a plataformas de automação e orquestração, como serviços de hospedagem de aplicações e jobs de curta duração. Esses ambientes permitiram que a campanha criasse milhares de nós de polling temporários, responsáveis por acompanhar o status dos códigos de dispositivo e das sessões associadas.
Essa automação reduz a necessidade de intervenção manual e torna a campanha extremamente eficiente: cada nó acompanha, em tempo real, a ativação de um código, atualiza o status da sessão e aciona scripts posteriores, como coleta de dados, reconhecimento de ambiente e movimentação lateral.
O uso de infraestrutura efêmera – instâncias que nascem e morrem rapidamente – também dificulta o rastreio e bloqueio da campanha. Quando um endereço ou nó é identificado, muitos outros já foram criados em paralelo para assumir o lugar.
Geração dinâmica de códigos e contorno da expiração
Um dos grandes desafios para abusar do fluxo de código de dispositivo é a janela de validade. Normalmente, esses códigos expiram em cerca de 15 minutos. Se o atacante gerar o código muito antes do usuário interagir com o e-mail, a tentativa de exploração falha.
Para contornar isso, os operadores da campanha desenharam um mecanismo de geração dinâmica: o código só é criado no exato momento em que a vítima clica no link malicioso. Desse modo, quando o usuário acessa a página e insere o código, ele ainda está dentro do período de validade.
Essa abordagem reduz drasticamente o número de tentativas desperdiçadas e aumenta a taxa de conversão dos ataques, tornando a campanha mais previsível e rentável. Somada à automação em larga escala, essa técnica transforma o que antes poderia ser um golpe oportunista em uma operação industrializada de phishing.
E-mails hiperpersonalizados criados com IA generativa
Outro diferencial da campanha é o uso intensivo de IA generativa para criar iscas de phishing extremamente convincentes. Em vez de mensagens genéricas, mal traduzidas ou com erros grosseiros, os atacantes enviam e-mails que refletem a função, o nível hierárquico e até a linguagem típica do público-alvo.
A IA é alimentada com informações públicas e dados contextuais coletados em redes profissionais, sites corporativos e outros canais abertos. Com isso, é possível construir narrativas muito específicas, como:
– Comunicados falsos de atualização de políticas internas para gestores.
– Supostos avisos de faturamento ou notas fiscais para equipes financeiras.
– Alertas de segurança sofisticados para profissionais de TI.
– Mensagens simulando fornecedores estratégicos ou parceiros de negócio.
Essa hiperpersonalização reduz a desconfiança natural dos usuários e torna o phishing mais difícil de ser identificado apenas pelo conteúdo da mensagem. O resultado é um aumento significativo na taxa de cliques e, consequentemente, nas contas comprometidas.
A etapa pós-comprometimento: reconhecimento e permanência
Uma vez que a vítima conclui a autenticação e o atacante ganha acesso ao ambiente, a campanha não se limita a um roubo pontual de dados. Há toda uma fase de pós-comprometimento cuidadosamente automatizada.
Entre as ações observadas estão:
– Enriquecimento automatizado de alvos: scripts identificam quais usuários têm funções financeiras, executivas ou administrativas, priorizando contas com maior potencial de impacto.
– Criação de regras maliciosas de caixa de entrada: filtros são adicionados para redirecionar, apagar ou marcar como lidas mensagens de segurança, alertas de login e comunicações que possam denunciar o ataque.
– Uso da API Microsoft Graph para reconhecimento: os invasores mapeiam permissões, grupos, aplicativos conectados, recursos de nuvem e acessos delegados, preparando o terreno para futuras ações fraudulentas.
– Coleta de tokens e dados sensíveis: informações de sessão, chaves e outros artefatos são armazenados para permitir novos acessos mesmo se a senha for alterada.
Essa combinação transforma um simples clique em um ponto de entrada estratégico para fraudes financeiras, espionagem corporativa ou movimentações laterais em toda a organização.
Por que controles tradicionais não bastam mais
Muitas empresas ainda baseiam sua estratégia de segurança em um conjunto de controles perimetrais (firewall, VPN, IDS/IPS) e em mecanismos clássicos de proteção de endpoint. Embora importantes, esses recursos foram pensados para um cenário em que o invasor precisava, antes de tudo, “entrar” na rede.
No modelo atual, em que a autenticação ocorre em nuvem, serviços SaaS são onipresentes e o trabalho remoto é padrão, a identidade ocupou o centro da arquitetura de segurança. Se o atacante consegue uma sessão válida, ele atravessa barreiras com facilidade, pois está tecnicamente “dentro” do ambiente.
Além disso, o uso de recursos oficiais – como o fluxo de código de dispositivo – e de infraestrutura de nuvem legítima para orquestração dos ataques torna a distinção entre tráfego malicioso e tráfego de negócio ainda mais complexa.
Recomendações práticas da Microsoft e boas práticas adicionais
A Microsoft recomenda uma série de medidas para mitigar esse tipo de ataque:
– Bloquear ou restringir o fluxo de código de dispositivo via políticas de Acesso Condicional sempre que ele não for estritamente necessário.
– Reforçar a educação dos usuários, com treinamentos específicos sobre golpes que envolvem códigos de autenticação e supostos avisos de segurança.
– Configurar políticas avançadas de antifishing, com análise de conteúdo e reputação, além de mecanismos como Safe Links para inspecionar URLs antes do acesso.
– Implementar políticas baseadas em risco de login, que avaliem contexto (local, dispositivo, horário, comportamento) para exigir fatores adicionais de verificação ou até bloquear tentativas suspeitas.
Além dessas orientações, outras boas práticas se mostram fundamentais:
– Adotar o princípio de menor privilégio em todas as contas, reduzindo o impacto de um eventual comprometimento.
– Monitorar ativamente a criação de regras de caixa de entrada, especialmente em contas sensíveis.
– Estabelecer processos de revogação rápida de sessões e tokens em incidentes suspeitos.
– Utilizar soluções de detecção e resposta focadas em identidade, capazes de identificar comportamentos anômalos vinculados a usuários e não apenas a dispositivos.
– Periodicamente revisar quais fluxos de autenticação realmente precisam estar habilitados no ambiente.
O papel da cultura de segurança na proteção contra IA maliciosa
À medida que atacantes usam IA para tornar golpes mais sofisticados, as empresas precisam fortalecer não apenas a tecnologia, mas também a cultura de segurança. Usuários que compreendem como funcionam campanhas modernas – que podem parecer extremamente profissionais e internas – têm mais chances de desconfiar de pedidos atípicos.
Campanhas de conscientização devem incluir exemplos de:
– E-mails que pedem validação de conta por meio de códigos inesperados.
– Mensagens urgentes que tentam driblar o processo padrão da empresa.
– Solicitações de confirmação de identidade fora dos canais habituais de TI ou segurança.
Treinamentos práticos, com simulações reais e feedback imediato, ajudam a transformar o usuário de elo fraco em sensor de segurança, capaz de detectar e reportar comportamentos suspeitos.
IA defensiva: usando inteligência artificial a favor da segurança
Se por um lado criminosos exploram IA generativa para criar golpes mais convincentes, por outro as empresas podem – e devem – usar IA defensiva para equilibrar o jogo. Soluções modernas já aplicam machine learning para:
– Detectar padrões anômalos de login e uso de tokens.
– Correlacionar sinais de diversas fontes (e-mail, autenticação, endpoint, SaaS) em tempo real.
– Priorizar alertas com base em risco e contexto.
– Identificar comportamentos suspeitos em fluxos OAuth, incluindo o de código de dispositivo.
Ao combinar essas capacidades com políticas rígidas de identidade e governança de acesso, as organizações conseguem reduzir substancialmente a janela de ataque, mesmo em cenários altamente automatizados.
Conclusão: repensar identidade, confiança e automação
A campanha que explora o fluxo de código de dispositivo mostra como o cibercrime evoluiu para um modelo em que:
– O alvo principal são identidades e tokens, não apenas senhas.
– Recursos legítimos são reapropriados como vetores de ataque.
– A automação e a IA permitem ataques em larga escala com alta taxa de sucesso.
Proteger-se nesse contexto exige mais do que adicionar ferramentas: é preciso repensar como a organização trata identidade, confiança e automação. Bloquear fluxos desnecessários, monitorar continuamente o uso de tokens, fortalecer a cultura de segurança e adotar tecnologias de detecção baseadas em comportamento são passos fundamentais para enfrentar essa nova geração de ameaças que usa IA para automatizar ataques em massa.