Criminosos exploram instabilidade do Microsoft 365 em campanha de phishing

A Microsoft divulgou um alerta importante sobre uma campanha coordenada de phishing que aproveita a instabilidade registrada na plataforma Microsoft 365 na quinta-feira (12) para executar ataques de roubo de dados. Os fraudadores utilizam técnicas sofisticadas para enganar usuários, enviando mensagens que se parecem com comunicados oficiais da empresa de tecnologia, aumentando significativamente o risco de exposição de informações sensíveis.

De acordo com a equipe de Inteligência contra Ameaças da Microsoft (Microsoft Threat Intelligence), os criminosos enviam e-mails fraudulentos afirmando que mensagens de correio ficaram retidas durante a interrupção do serviço e serão deletadas dentro de 24 horas. Para recuperá-las, supostamente, o destinatário precisa clicar em um link malicioso inserido na mensagem, uma tática clássica de phishing que busca comprometer credenciais e dados de acesso dos usuários.

Características técnicas dos e-mails fraudulentos

Os e-mails maliciosos utilizam linhas de assunto padronizadas no formato "Outage - [código de seis caracteres]", conferindo uma aparência oficial à mensagem. Os remetentes falsos identificam-se com nomes como "Outage Notification" (Notificação de Interrupção) e "Service Health" (Integridade do Serviço), seguidos de identificações específicas de cada organização alvo, o que aumenta a credibilidade do golpe perante as vítimas.

A investigação realizada pela Microsoft identificou três domínios principais utilizados no envio das mensagens fraudulentas: moments-notice[.]com, planetmaison[.]com e newbooker[.]com. Os e-mails contêm links que passam inicialmente pelo serviço SendGrid, uma plataforma legítima de envio de e-mails, que funciona como intermediária para rastrear cliques antes de redirecionar os usuários para o domínio malicioso reallifeaccounting[.]com, onde ocorre a tentativa efetiva de roubo de informações.

Alcance da campanha de phishing Microsoft 365

Conforme relatado pela equipe de segurança da Microsoft, mensagens semelhantes foram distribuídas para organizações de diversos setores econômicos localizadas nos Estados Unidos. A abrangência da campanha demonstra a sofisticação e a coordenação por trás desses ataques, que não se limitam a um segmento específico ou tipo de negócio, representando uma ameaça generalizada para empresas de todos os tamanhos.

Objetivo e natureza da atividade maliciosa

A atividade identificada apresenta todas as características típicas de ataques de phishing, uma metodologia criminosa em que fraudadores se passam por empresas ou instituições confiáveis para enganar vítimas inocentes e obter informações sensíveis como senhas, dados de acesso e outros identificadores únicos. Apesar da detecção da campanha, a Microsoft ressalva que ainda não confirmou se credenciais de usuários foram efetivamente coletadas ou se ocorreu distribuição de programas maliciosos (malware) através desta operação específica.

Recomendações de proteção e investigação

Para identificar e neutralizar possíveis impactos da campanha, a Microsoft recomenda que as equipes de segurança das organizações investiguem imediatamente mensagens suspeitas e analisem os links contidos nelas. Uma das principais ferramentas disponibilizadas é o Microsoft Defender para Office 365, que permite examinar minuciosamente e-mails e verificar se usuários clicaram em endereços potencialmente perigosos.

A companhia também sugere que as organizações verifiquem e reconfigurem o Safe Links, um recurso de segurança que analisa links no momento exato em que são acessados e oferece proteção contra endereços maliciosos ou comprometidos. Esta camada adicional de segurança funciona em tempo real, bloqueando acessos a domínios suspeitos antes que qualquer dano seja causado.

Procedimentos recomendados pelas autoridades

Por fim, a orientação final da Microsoft é que as empresas investiguem possíveis interações dos funcionários com as mensagens fraudulentas e confirmem eventuais interrupções do Microsoft 365 diretamente no centro de administração oficial do serviço, acessado através de canais autenticados, em vez de confiar cegamente em links recebidos por e-mail. Este procedimento adicional de verificação é fundamental para evitar ser enganado por ataques de phishing sofisticados que exploram crises de serviço reais para ganhar credibilidade junto aos alvos.