FBI alerta usuários da Microsoft sobre golpe sem senha

A etapa de segurança em que muitos de nós mais confiamos pode não nos proteger da maneira que pensamos. O FBI está alertando sobre uma plataforma emergente de phishing como serviço chamada Kali365. Destina-se a contas do Microsoft 365, incluindo Outlook, Groups e OneDrive.

Só isso parece ruim. A parte mais assustadora é como funciona. Esse golpe pode entrar na sua conta sem roubar sua senha. Mesmo com a autenticação multifator ativada, uma aprovação errada do código do dispositivo pode dar acesso a um criminoso.

Veja como funciona o golpe, por que ele pode escapar do MFA e o que você pode fazer para proteger sua conta da Microsoft.

Inscreva-se para receber meu relatório CyberGuy GRATUITO

• Receba minhas melhores dicas técnicas, alertas de segurança urgentes e ofertas exclusivas diretamente na sua caixa de entrada.
• Para conhecer maneiras simples e reais de detectar fraudes antecipadamente e permanecer protegido, visite CyberGuy.com – com a confiança de milhões de pessoas que assistem diariamente ao CyberGuy na TV.
• Além disso, você terá acesso instantâneo ao meu Final Rip-off Survival Information gratuitamente ao ingressar.

NOVO AVISO DO FBI REVELA ATAQUES DE PHISHING ATINGINDO CHATS PRIVADOS

Como o Kali365 engana os usuários da Microsoft

Kali365 é uma plataforma de phishing como serviço. Em outras palavras, os criminosos podem assiná-lo e usar ferramentas prontas para atacar contas do Microsoft 365. O FBI afirma que o Kali365 foi visto pela primeira vez em abril de 2026 e se espalhou principalmente pelo Telegram. A plataforma dá aos invasores acesso a mensagens de phishing geradas por IA, modelos de campanha automatizados, painéis de rastreamento e ferramentas que capturam tokens OAuth. Essa última parte é a chave.

Os tokens OAuth são chaves de acesso digital. Eles podem permitir que um aplicativo permaneça conectado à sua conta da Microsoft sem solicitar sua senha todas as vezes. Eles são úteis quando o aplicativo certo os utiliza. Eles são perigosos quando um golpista os rouba.

Por que esse golpe pode vencer o MFA

A maioria dos golpes de phishing tenta roubar sua senha. Kali365 segue um caminho diferente. O ataque abusa do processo de login do código do dispositivo da Microsoft. Você deve ter visto algo semelhante ao entrar em um aplicativo de streaming em uma sensible TV. Uma tela mostra um código curto. Em seguida, você insere esse código em outro dispositivo para aprovar o login.

Esse processo é legítimo. O golpe começa quando um criminoso inicia o login em seu próprio dispositivo e engana você para aprová-lo. Você pode ver um e-mail de phishing que parece ter vindo de um serviço de nuvem confiável ou de uma ferramenta de compartilhamento de documentos. A mensagem inclui um código e solicita que você visite uma página actual de verificação da Microsoft.

Essa página actual da Microsoft é o que torna isso tão sorrateiro. O endereço da internet pode parecer correto. Seu gerenciador de senhas não pode se opor. A página pode parecer segura. Mas depois que o código for inserido, você poderá autorizar inadvertidamente o dispositivo do invasor. A partir daí, o invasor pode capturar tokens de acesso e atualizar. Isso pode abrir a porta para Outlook, Groups e OneDrive sem sua senha ou outro immediate de MFA.

QR CODE EMAIL SCAM ALVO AVALIAÇÕES DE FUNCIONÁRIOS

Os golpistas podem usar uma página de login legítima da Microsoft para tornar a tentativa de phishing muito mais convincente. (Neil Godwin/Futuro by way of Getty Photos)

Por que isso também deveria preocupar as pequenas empresas

Um golpe como esse pode atingir qualquer pessoa com acesso ao Microsoft 365. Ainda assim, as pequenas empresas devem prestar muita atenção. Pense no que está dentro de uma conta de trabalho típica. Tópicos de e-mail. Faturas. Arquivos compartilhados. Bate-papos com funcionários. Contatos de fornecedores. Detalhes do cliente. Convites de calendário. Uma conta comprometida pode dar ao criminoso uma voz muito confiável.

Um golpista que entra no Outlook pode estudar como você escreve. Eles podem enviar mensagens da sua conta actual. Eles podem pedir aos colegas de trabalho que paguem faturas falsas, compartilhem arquivos ou redefinam senhas. Isso para mim é assustador porque o golpe pode não parecer mais um golpe. Pode vir de alguém que você conhece.

Como o ataque se desenrola

O FBI descreve o esquema em uma sequência clara. Primeiro, a vítima recebe um e-mail de phishing que finge vir de um serviço confiável de produtividade ou de compartilhamento de arquivos. Em seguida, o e-mail fornece um código do dispositivo e instrui a vítima a inseri-lo em uma página legítima de verificação da Microsoft.

Em seguida, a vítima insere o código e, sem saber, aprova o dispositivo do invasor. Depois disso, o invasor captura tokens de acesso e atualização do OAuth. Por fim, o invasor pode acessar serviços do Microsoft 365, como Outlook, Groups e OneDrive, sem precisar da senha da vítima.

Bandeiras vermelhas a serem observadas

O maior sinal de alerta é uma solicitação inesperada para inserir um código de dispositivo Microsoft. Desconfie se um e-mail solicitar que você insira um código para um arquivo, correio de voz, fatura ou documento compartilhado que você não solicitou.

Além disso, observe a urgência. Os golpistas adoram mensagens que incentivam você a agir rapidamente. Eles podem alegar que um documento irá expirar, um correio de voz está aguardando ou uma conta precisa de verificação.

Outra pista é o contexto. Se você não estava tentando fazer login em um dispositivo, não insira o código do dispositivo. Esse hábito pode impedir esse golpe antes que ele comece.

Se um código da Microsoft aparecer em um e-mail inesperado, mensagem de texto ou mensagem do Groups, pare e vá diretamente para sua conta. (Kurt “CyberGuy” Knutsson)

O que a Microsoft diz sobre o aviso de phishing Kali365

Em resposta ao CyberGuy, a Microsoft disse que os clientes devem seguir as recomendações do FBI, bem como as melhores práticas publicadas pela Microsoft para se protegerem contra o Kali365 e golpes semelhantes.

A empresa também disse que trabalha para perturbar ecossistemas cibercriminosos vinculados a atividades de phishing como serviço e controle de contas. A Microsoft apontou ações recentes da Unidade de Crimes Digitais envolvendo Faux ONNX, RaccoonO365 e Tycoon 2FA como exemplos desses esforços mais amplos.

Como proteger sua conta do Microsoft 365 do Kali365

Alguns hábitos inteligentes podem ajudá-lo a detectar solicitações falsas de códigos de dispositivos, reduzir sua exposição e seguir as orientações do FBI para limitar esse tipo de ataque.

1) Nunca insira um código de dispositivo que você não solicitou

Insira um código de dispositivo Microsoft apenas quando você iniciar pessoalmente o login. Se o código chegar por e-mail, mensagem do Groups ou hyperlink aleatório de documento, pare.

2) Vá diretamente para a Microsoft

Não use hyperlinks em mensagens surpresa. Abra seu navegador e acesse diretamente a Microsoft ou o portal Microsoft 365 da sua empresa.

3) Verifique a atividade da sua conta

Revise logins recentes, dispositivos conectados e sessões ativas. Se você vir um native, dispositivo ou aplicativo que não reconhece, tome medidas imediatamente.

4) Revogar sessões suspeitas

Se você acha que digitou um código por engano, saia de todas as sessões e revogue o acesso a aplicativos suspeitos. Em seguida, altere sua senha e entre em contato com sua equipe de TI.

5) Mantenha o MFA ativado

Não desative a autenticação multifator por causa desse golpe. A MFA ainda bloqueia muitos ataques a contas. Essa ameaça mostra por que você também precisa ter cuidado com avisos de aprovação e códigos de dispositivos.

6) Use um software program de segurança forte

O uso de um software program antivírus forte pode ajudar a detectar páginas de phishing, hyperlinks maliciosos e downloads suspeitos antes que causem danos. Obtenha minhas escolhas dos melhores vencedores de proteção antivírus de 2026 para seus dispositivos Home windows, Mac, Android e iOS em Cyberguy.com

7) Use um serviço de remoção de dados

Os golpistas costumam criar mensagens de phishing convincentes com dados pessoais encontrados on-line. Um serviço de remoção de dados pode ajudar a reduzir a quantidade de informações disponíveis em websites de pesquisa de pessoas e bancos de dados de corretores de dados. Confira minhas principais opções de serviços de remoção de dados e faça uma verificação gratuita para descobrir se suas informações pessoais já estão na internet visitando Cyberguy.com

8) Treine sua equipe sobre golpes de código de dispositivo

Os funcionários podem saber que não devem digitar senhas em páginas estranhas. Muitos nunca foram avisados ​​sobre os códigos dos dispositivos. Faça desse golpe específico parte do seu treinamento de segurança.

9) Restrinja o fluxo de código do dispositivo se sua empresa não precisar dele

O FBI afirma que restringir o fluxo do código do dispositivo pode ajudar a prevenir ou limitar esse tipo de ataque. As equipes de TI devem criar uma política de acesso condicional para bloquear o fluxo de código do dispositivo para todos os usuários, com exceções limitadas para os processos de negócios necessários.

10) Audite primeiro o uso do código do dispositivo

Antes de bloquear o fluxo de código do dispositivo, o FBI recomenda auditar o uso atual para identificar necessidades comerciais legítimas. Isso pode ajudar a evitar interrupções para funcionários ou sistemas que dependem desse método de login.

11) Bloquear políticas de transferência de autenticação

O FBI também recomenda bloquear políticas de transferência de autenticação. Isso pode ajudar a impedir que os usuários transfiram a autenticação de computadores para dispositivos móveis.

12) Proteja contas de acesso de emergência

Se a sua organização não puder restringir totalmente o fluxo de código do dispositivo, o FBI recomenda excluir contas de acesso de emergência para evitar bloqueios. Essa etapa deve ser realizada com cuidado pela sua equipe de TI ou segurança.

13) Denuncie o ataque

Se você foi alvo ou comprometido, denuncie ao Centro de Reclamações sobre Crimes na Web do FBI em IC3.gov. Inclua e-mails de phishing, cabeçalhos de e-mail, horários de login suspeitos, endereços IP, locais, dispositivos não autorizados e sessões ativas.

O que fazer se você já inseriu um código

Mova-se rapidamente.

• Saia do Microsoft 365 em todos os dispositivos.
• Altere sua senha.
• Verifique seu e-mail e número de telefone de recuperação.
• Revise as regras de encaminhamento no Outlook.
• Procure regras estranhas na caixa de entrada que ocultam, excluem ou redirecionam e-mails.
• Em seguida, revise os arquivos do OneDrive, as mensagens do Groups e as atividades recentes da conta.
• Se esta for uma conta de trabalho, informe imediatamente sua equipe de TI. Não espere para ver o que acontece. Os tokens roubados podem dar aos invasores acesso contínuo até serem revogados.

Principais conclusões de Kurt

Esse é o tipo de golpe que pode enganar pessoas inteligentes porque usa uma página de login actual da Microsoft para realizar algo criminoso. É isso que torna o Kali365 tão perigoso. Isso pode transformar uma etapa de segurança confiável em uma armadilha, especialmente quando o código não provém de um usuário conectado. A grande lição aqui é desacelerar antes de inserir qualquer código de dispositivo Microsoft. Se um código aparecer por meio de um e-mail inesperado, mensagem de texto ou mensagem do Groups, pare e vá diretamente para a conta. Não aprove um login, a menos que ele tenha sido iniciado propositalmente. Alguns segundos extras de cautela podem ajudar a manter os criminosos fora do Outlook, do Groups, do OneDrive e de tudo que está conectado a eles.

Você já recebeu um código da Microsoft ou uma solicitação de login que não solicitou e pareceu convincente o suficiente para fazer você fazer uma pausa? Deixe-nos saber escrevendo para Cyberguy.com

CLIQUE AQUI PARA BAIXAR O APLICATIVO FOX NEWS

Inscreva-se para receber meu relatório CyberGuy GRATUITO

• Receba minhas melhores dicas técnicas, alertas de segurança urgentes e ofertas exclusivas diretamente na sua caixa de entrada.
• Para conhecer maneiras simples e reais de detectar golpes com antecedência e permanecer protegido, visite CyberGuy.com – confiável para milhões de pessoas que assistem CyberGuy na TV diariamente.
• Além disso, você terá acesso instantâneo ao meu Final Rip-off Survival Information gratuitamente ao ingressar.

Direitos autorais 2026 CyberGuy.com. Todos os direitos reservados.