A Huntress relatou uma campanha global contra ambientes Microsoft 365 em que invasores usaram phishing e tokens de sessão roubados para realizar logins automatizados. A investigação abrangeu eventos suspeitos entre julho e setembro de 2026 em 79 organizações clientes. A empresa contabilizou pelo menos 200 mil tentativas, incluindo 497 logins bem-sucedidos.
O que significa “token spraying” neste relato
O termo descreve tentativas automatizadas de login que reutilizam tokens de sessão roubados. É diferente de password spraying, que testa senhas contra várias contas: nessa campanha, a abordagem relatada mirava sessões autenticadas.
Um token de sessão é uma credencial que mantém uma sessão autenticada. Segundo o relato da Huntress, os tokens roubados eram gerados depois de um login legítimo com autenticação multifator (MFA). Quem obtivesse um deles poderia ser aceito na sessão sem passar por uma nova etapa de MFA.
O que a Huntress relatou sobre a campanha
Além do replay de tokens, a Huntress relatou phishing do tipo adversary-in-the-middle (AiTM), páginas falsas de login, phishing por código de dispositivo e engenharia social. Os 79 grupos citados correspondem às organizações clientes com eventos suspeitos incluídas na investigação.
Como os invasores tentaram manter o acesso
Em alguns incidentes, os invasores teriam alterado configurações de MFA, registrado telefones ou dispositivos próprios e criado regras ocultas na caixa de entrada. Essas mudanças poderiam ajudar a manter o acesso à conta.
A Huntress também relatou que uma caixa de e-mail comprometida foi usada para enviar uma mensagem de phishing relacionada à folha de pagamento. A vítima pretendida aparentemente não fez nenhum pagamento.
O que a Huntress recomendou
Para reduzir lacunas de segurança, a Huntress recomendou políticas de Acesso Condicional configuradas para exigir MFA ou bloquear o acesso, de forma incondicional, para todos os usuários, todos os aplicativos em nuvem e todos os tipos de aplicativos clientes.
Diante de uma suspeita de replay de token, a orientação foi:
- Revogar as sessões e redefinir as senhas.
- Auditar os dispositivos e os métodos de MFA no Microsoft Entra.
- Verificar as regras da caixa de entrada em busca de alterações não autorizadas.
