Uma reportagem publicada em 26 de outubro de 2026 atribuiu à Huntress o relato de uma campanha que teria comprometido 97 contas do Microsoft 365 em 79 organizações. A atividade foi observada entre 14 de julho e 22 de setembro de 2026. No período, a Huntress contou 497 eventos de entrada bem-sucedidos entre mais de 200 mil tentativas de login.
Como o replay de token contornou uma nova etapa de MFA
No ataque relatado, uma página intermediária retransmitia as credenciais e os códigos de autenticação multifator (MFA) da vítima para os serviços legítimos da Microsoft. Depois que o login era concluído, os invasores capturavam o token de sessão emitido pela Microsoft e o reutilizavam em um dispositivo sob seu controle. Como esse token representava uma sessão já autenticada, o acesso podia prosseguir sem uma nova solicitação de MFA.
A Huntress também citou phishing por código de dispositivo e engenharia social durante um login legítimo como formas de obter tokens. Ela chamou de “token spraying” a reutilização em larga escala de tokens roubados em diferentes organizações.
Dispositivos, métodos de autenticação e caixas de entrada
Além dos tokens, a Huntress relatou 48 registros de dispositivos não autorizados no Microsoft Entra ID. Em pelo menos 19 organizações, os invasores teriam removido métodos de MFA existentes e cadastrado outro em até três horas após o primeiro login. Em um caso de 21 de julho, um autenticador chamado “iPhone 13” foi ativado menos de 51 minutos depois do sequestro da sessão.
As alterações relatadas também chegaram às caixas de entrada. Regras ocultas apagavam ou desviavam mensagens sobre folha de pagamento, depósitos e bônus. Em um caso, uma regra marcava todas as mensagens recebidas como lidas e as excluía; depois, a conta enviou spam a centenas de destinatários, antes de o Entra ID Protection classificar a conta como de alto risco.
O que a Microsoft Token Protection cobre
A Microsoft descreve o Conditional Access Token Protection como um recurso que vincula criptograficamente tokens de atualização compatíveis ao dispositivo. O cenário descrito exige um Primary Refresh Token (PRT) e abrange aplicativos nativos do Windows que se conectam ao Teams, ao SharePoint e ao Exchange. Dispositivos não registrados sem PRT ficam fora desse cenário.
Isso delimita onde o controle se aplica: não é uma barreira universal contra toda tentativa de replay. Para os cenários fora dessa cobertura, a Microsoft recomenda combinar controles como dispositivos gerenciados e compatíveis, monitoramento de riscos e medidas de rede. A orientação também recomenda restringir o fluxo de código de dispositivo quando ele não for necessário, pois esse método pode ser explorado em phishing ou para acessar recursos corporativos a partir de dispositivos não gerenciados. Os detalhes estão nas orientações da Microsoft sobre proteção de tokens.
O que verificar em um login suspeito
Uma localização incomum, por si só, não determina se houve roubo de token. Uma resposta publicada no fórum Spiceworks recomenda conferir nos detalhes de autenticação se o MFA foi solicitado naquele login ou se já havia sido satisfeito, além de comparar o identificador do dispositivo com o de um equipamento conhecido. A Microsoft lista detecções de risco chamadas “Anomalous Token”, “Attacker in the Middle” e “Unfamiliar sign-in properties”.
Para responder a uma suspeita de comprometimento, a Huntress recomendou revogar sessões e redefinir a senha; auditar dispositivos registrados e métodos de autenticação no Entra ID; revisar regras de caixa de entrada e aplicativos empresariais inesperados; e restringir o fluxo de código de dispositivo por meio do Conditional Access.
