Mfa

A Huntress reportou um aumento alarmante de 155 vezes nos ataques de password spraying na primeira metade de 2026, impulsionado por uma campanha direcionada ao Azure CLI da Microsoft. Em junho de 2026, foram registrados mais de 81 milhões de tentativas de login, resultando em 78 contas comprometidas em apenas duas semanas. O ataque se destacou por utilizar pares de nomes de usuário e senhas válidos de vazamentos anteriores, tornando cada tentativa bem-sucedida mais valiosa. Além disso, o uso de Resource Owner Password Credentials (ROPC), um método de autenticação legado que não suporta autenticação multifatorial (MFA), facilitou o acesso dos atacantes. Embora muitas empresas afetadas implementassem MFA, suas políticas não cobriam o fluxo específico utilizado pelos atacantes. A Huntress identificou que a campanha não visava um setor específico, mas sim organizações com lacunas em suas políticas de senha e MFA. Para mitigar esses ataques, recomenda-se reforçar a higiene de senhas, desabilitar o ROPC e exigir MFA para todos os usuários e aplicativos em nuvem.

Um ataque de ransomware da família Akira ocorreu em 4 de agosto, quando um hacker obteve acesso inicial a um sistema comprometido através de um dispositivo SonicWall VPN exposto, que não possuía autenticação multifator (MFA). Após duas horas do login bem-sucedido, o invasor conectou-se ao controlador de domínio via RDP, enumerou usuários e computadores do Active Directory e transferiu dados para um bucket S3 controlado pelo atacante usando ferramentas como WinRAR e s5cmd. Para manter o acesso remoto, o hacker instalou o AnyDesk e forçou o sistema a reiniciar em Modo Seguro com Rede, desativando a proteção em tempo real do Microsoft Defender e o agente da Huntress. Embora o ransomware não tenha conseguido criptografar arquivos devido a erros de memória, o atacante conseguiu roubar credenciais e dados em menos de cinco horas. A Huntress recomenda a implementação de MFA em todas as contas VPN e monitoramento de alterações na configuração de inicialização do Modo Seguro. Este incidente destaca a importância de medidas de segurança robustas, especialmente em ambientes que utilizam tecnologias amplamente adotadas no Brasil.

Um recente aumento de ataques cibernéticos, direcionados a serviços financeiros, private equity e serviços profissionais, é atribuído ao grupo de extorsão de dados conhecido como UNC6671. Segundo um relatório do Google Threat Intelligence Group (GTIG) e Mandiant, o grupo utiliza phishing por voz (vishing) para enganar funcionários de empresas, se passando por membros da equipe de TI. Os atacantes frequentemente contatam as vítimas em seus dispositivos móveis pessoais, induzindo-as a acessar portais de login falsificados, onde suas credenciais e tokens de autenticação multifatorial (MFA) são interceptados.

Um canadense de 26 anos, Connor Riley Moucka, conhecido como Alexander Moucka, se declarou culpado por acessar contas de empresas no provedor de armazenamento em nuvem Snowflake e roubar dados de pelo menos 165 organizações. Entre fevereiro e outubro de 2024, ele e um cúmplice, John Erin Binns, acessaram contas desprotegidas por autenticação multifator (MFA) usando logins roubados por meio de malware infostealer. Sem a MFA, os criminosos precisavam apenas de nomes de usuário e senhas corretos para entrar nas contas. Eles roubaram terabytes de dados, incluindo informações pessoais identificáveis (PII), registros financeiros e históricos de chamadas. Após o roubo, tentaram extorquir as empresas, conseguindo pelo menos 2,5 milhões de dólares em bitcoin de três vítimas. O Departamento de Justiça dos EUA informou que as empresas afetadas sofreram perdas superiores a 9,5 milhões de dólares, impactando mais de 100 milhões de indivíduos. Moucka se declarou culpado de quatro acusações, incluindo fraude e roubo de identidade, e pode enfrentar até 32 anos de prisão. O caso destaca a importância da MFA e da proteção de dados em ambientes de nuvem.

O kit de phishing como serviço (PhaaS) conhecido como Greatness, que se tornou uma solução de crime cibernético, agora suporta phishing por código de dispositivo, uma ameaça crescente que explora a autorização de dispositivo OAuth 2.0 para contornar a autenticação multifator (MFA) e tomar controle de contas de usuários. O Greatness permite roubo de credenciais e tokens, abuso de consentimento OAuth e é acessível por meio de uma assinatura em um canal público do Telegram, com mais de 3.250 assinantes. O custo da assinatura aumentou de $120 para $289 por mês, oferecendo acesso a um painel com estatísticas de campanhas e modelos de isca prontos para uso. Recentemente, campanhas de phishing têm explorado iscas de voicemail da RingCentral, aproveitando a confiança de clientes legítimos. A análise mostra que tokens de autenticação roubados são reutilizados rapidamente, permitindo acesso prolongado a recursos do Microsoft 365. O Greatness representa uma evolução significativa nas plataformas PhaaS, que agora integram ecossistemas de ataque mais complexos, refletindo uma tendência preocupante no cenário de cibersegurança.

O phishing por código de dispositivo, que explora a autorização de dispositivos do OAuth 2.0 para roubar tokens de acesso, evoluiu rapidamente de uma técnica de red-team para uma ameaça em larga escala. Inicialmente projetado para dispositivos com restrições de entrada, como TVs inteligentes e impressoras, esse método foi adotado por uma variedade de aplicativos, especialmente logins em interfaces de linha de comando (CLI). Desde 2020, quando foi descrito pela primeira vez, o uso dessa técnica por atores estatais e grupos criminosos cresceu exponencialmente, com a Barracuda relatando 7 milhões de ataques em apenas quatro semanas. A técnica contorna todos os métodos de autenticação multifatorial (MFA), incluindo chaves de segurança, atacando a camada de autorização após o login. A comercialização do phishing como serviço (PhaaS) facilitou a criação e distribuição de kits de phishing, com mais de 25 kits distintos sendo rastreados atualmente. Embora 99% dos ataques detectados visem a Microsoft, qualquer aplicativo que implemente o OAuth 2.0 pode ser um alvo. Essa mudança para ataques à autorização representa uma nova fase nas ameaças cibernéticas, exigindo que as equipes de segurança se adaptem rapidamente às novas dinâmicas.

O Single Sign-On (SSO) facilita o acesso a múltiplos sistemas com um único conjunto de credenciais, mas também concentra riscos, como demonstrado pelo ataque à Universidade da Pensilvânia em 2025, que comprometeu dados de 1,2 milhão de indivíduos. Embora o SSO não seja intrinsecamente inseguro, sua eficácia depende de uma configuração e proteção adequadas. Para garantir a segurança, é essencial implementar senhas fortes, com recomendações do NIST sugerindo pelo menos 15 caracteres para senhas únicas e 8 caracteres para senhas em conjunto com autenticação multifator (MFA). Além disso, a MFA deve ser aplicada de forma consistente em todos os usuários e aplicações, utilizando métodos mais seguros, como chaves de segurança FIDO2. A proteção de ativos por trás do SSO, como contas de administrador e certificados de assinatura, é crucial para evitar abusos. Apesar dos riscos, o SSO oferece benefícios significativos, como a centralização da gestão de autenticação e a redução do número de senhas a serem gerenciadas, facilitando o acesso a recursos críticos e melhorando a conformidade regulatória.

Pesquisadores da ReliaQuest identificaram dois novos kits de phishing, Jalisco e OmegaLord, que visam contas do Microsoft 365, utilizando técnicas que burlam a autenticação multifator (MFA). O kit Jalisco emprega um método de phishing baseado em código de dispositivo, enquanto o OmegaLord se disfarça como um leitor de PDF para coletar credenciais de login e números de telefone, facilitando a interceptação de solicitações ou códigos MFA.

O método de phishing por código de dispositivo explora o fluxo de autorização do OAuth 2.0, enganando as vítimas para que autorizem um dispositivo controlado pelo atacante a acessar suas contas. O Jalisco gera códigos de dispositivo em tempo real, contornando a validade de 15 minutos imposta pela Microsoft. Após a invasão, os atacantes podem acessar dados sensíveis armazenados em serviços como SharePoint e realizar exfiltração em questão de minutos.

Um ataque de phishing ativo direcionado a usuários do Microsoft 365 foi descoberto, revelando falhas significativas na segurança. Um operador egípcio, identificado como codemado, deixou um servidor Python exposto na internet, permitindo que a empresa de segurança Lexfo acessasse sua ferramenta de ataque. O operador utilizou uma versão modificada do proxy Evilginx, que permitiu contornar a autenticação multifator (MFA) de duas maneiras distintas. A primeira técnica envolveu a intermediação do login ao vivo, enquanto a segunda abusou de um fluxo de login legítimo da Microsoft.

Um novo grupo de extorsão de dados, conhecido como Helix, está utilizando táticas focadas em identidade, como vishing (phishing por voz), phishing de código de dispositivo e abuso de autenticação multifatorial (MFA) para roubar dados de ambientes SharePoint. O contato inicial é feito por meio de vishing, onde os atacantes se passam por gerentes das vítimas, utilizando nomes ou técnicas de falsificação de ID para parecerem legítimos. O objetivo é enganar os alvos em esquemas de phishing de código de dispositivo para obter acesso às suas contas. Após a invasão, os operadores do Helix registram rapidamente um novo aplicativo de autenticação multifatorial para garantir a persistência, explorando e enumerando o SharePoint antes de exfiltrar arquivos. Os dados roubados são geralmente utilizados para extorquir as organizações vítimas, ameaçando publicá-los a menos que um resgate seja pago. Pesquisadores da ReliaQuest identificaram que o comportamento de exfiltração do SharePoint é a assinatura técnica mais forte do Helix, com uma coleta automatizada que se mostrou consistente em vários incidentes. Para mitigar esses ataques, recomenda-se desativar a autenticação por código de dispositivo sempre que possível e restringir o acesso ao SharePoint a dispositivos gerenciados.

Um ataque de password-spraying comprometeu contas do Microsoft 365, resultando em mais de 81 milhões de tentativas de login em um período de duas semanas. Os hackers utilizaram credenciais roubadas e exploraram políticas de acesso condicional mal configuradas para contornar a autenticação multifator (MFA). A campanha, observada pela empresa de cibersegurança Huntress, afetou 78 contas Microsoft em 64 organizações entre 12 e 26 de junho de 2026. Muitas das empresas visadas não tinham MFA implementada ou a aplicavam de forma inadequada, permitindo que os atacantes enviassem senhas diretamente ao endpoint de token sem um prompt de MFA interativo. Para mitigar esses riscos, recomenda-se que as organizações implementem MFA para todos os usuários e aplicativos em nuvem, restrinjam o uso do Azure CLI e respondam com base na validade das credenciais em vez do volume de tentativas de login.

Uma intensa campanha de ataque de password-spraying direcionada a ambientes Microsoft 365 resultou em mais de 81 milhões de tentativas de login em um período de duas semanas. Os atacantes tentaram autenticar-se utilizando combinações de nomes de usuário e senhas que foram expostas em brechas anteriores. O ataque foi realizado através da interface de linha de comando do Azure da Microsoft, que permite a administração de recursos em nuvem. Ao encontrar uma combinação válida, os hackers conseguiram autenticar-se usando o mecanismo OAuth ROPC (Resource Owner Password Credentials), contornando a autenticação multifator (MFA) em muitos casos devido a políticas de Acesso Condicional inseguras. A empresa de cibersegurança Huntress monitorou a campanha entre 12 e 26 de junho, confirmando que 78 contas Microsoft foram comprometidas em 64 organizações. Apesar de muitas dessas empresas terem implementado MFA, a configuração não cobria o fluxo específico utilizado pelos atacantes. A Huntress observou um aumento de mais de 155 vezes nos ataques de password-spraying, com uma média de 1.964 tentativas de login falhadas por inquilino a cada mês. O ataque teve seu pico em 22 de junho e, embora a origem do ataque seja desconhecida, foi identificado um intervalo IPv6 pertencente à LSHIY LLC.

Pesquisadores de cibersegurança alertaram sobre um ataque automatizado em larga escala, conhecido como ‘password spray’, direcionado à interface de linha de comando (CLI) do Azure da Microsoft. Entre 12 e 26 de junho de 2026, o atacante realizou mais de 81 milhões de tentativas de login, comprometendo pelo menos 78 contas de Microsoft em 64 organizações. O ataque se aproveitou de senhas comuns, utilizando uma técnica chamada Resource Owner Password Credentials (ROPC), que foi descontinuada no OAuth 2.1 e é incompatível com a autenticação multifator (MFA). Apesar de muitas das organizações afetadas terem políticas de Acesso Condicional (CAP) ativas, o uso do ROPC permitiu que os atacantes contornassem essas proteções. A maioria das contas comprometidas estava associada a empresas que não aplicavam MFA de forma abrangente, revelando falhas na configuração das políticas de segurança. Para mitigar esses riscos, recomenda-se que as organizações exijam MFA para todos os usuários e aplicativos em nuvem, além de restringir o acesso à CLI do Azure para usuários não administrativos.

A autenticação multifatorial (MFA) é considerada uma das principais defesas contra o comprometimento de contas, mas os atacantes estão cada vez mais utilizando técnicas de phishing que não dependem do roubo de senhas ou da violação da MFA. Um exemplo alarmante é o phishing por código de dispositivo, onde os atacantes induzem os usuários a autorizar o acesso através de páginas de autenticação legítimas da Microsoft. Isso permite que os invasores obtenham acesso contínuo sem precisar roubar credenciais. O webinar ‘Stop chasing alerts: Automating email security with behavioral AI’, que ocorrerá em 8 de julho de 2026, abordará como campanhas modernas de phishing, comprometimento de e-mails empresariais (BEC) e ataques de tomada de conta (ATO) exploram serviços confiáveis e fluxos de autenticação para acessar contas corporativas. A solução proposta envolve o uso de inteligência artificial comportamental para identificar atividades incomuns e automatizar a detecção e resposta a esses ataques. O evento promete fornecer abordagens práticas para detectar compromissos de conta mais cedo, reduzir a carga de investigação e melhorar os tempos de resposta.

As organizações enfrentam um desafio crescente na gestão de identidades, tanto humanas quanto não-humanas, em ambientes de trabalho híbridos e com acesso de terceiros. Com a expansão do trabalho remoto e do uso de dispositivos pessoais, as equipes de segurança estão perdendo visibilidade sobre quem tem acesso a quais recursos e se esse acesso é confiável. Os atacantes estão explorando essa complexidade, utilizando técnicas como o ‘MFA fatigue’, onde enviam repetidamente solicitações de autenticação multifatorial até que o usuário aceite uma delas. Além disso, ataques de phishing evoluíram, utilizando domínios legítimos e conteúdo gerado por IA para criar páginas de login falsas que imitam portais reais. A proteção das credenciais é essencial, pois 44,7% das violações de dados envolvem credenciais roubadas. Para mitigar esses riscos, soluções como o Specops Device Trust são recomendadas, pois oferecem verificação contínua de dispositivos e autenticação baseada em confiança, permitindo que as organizações mantenham um controle mais rigoroso sobre o acesso sem comprometer a experiência do usuário.

A Microsoft enfrentou um incidente que impediu alguns usuários de configurar a autenticação multifator (MFA) ou acessar a plataforma My Sign-Ins. O problema, identificado como um erro 504 Gateway Timeout, afetou a capacidade de muitos usuários de acessar o site mysignins.microsoft.com. A empresa reconheceu o problema por volta das 5 AM ET e classificou-o como um incidente em andamento, indicando um impacto significativo nos usuários. Para mitigar a situação, a Microsoft implementou uma infraestrutura alternativa e começou a monitorar a saúde do serviço. Após a identificação de uma mudança recente na configuração de cache como a causa do problema, a empresa reverteu as ações de mitigação e restaurou o tráfego para a infraestrutura original. Este incidente destaca a importância da autenticação multifator na segurança digital e a necessidade de monitoramento contínuo para evitar interrupções nos serviços.

A autenticação multifator (MFA) foi criada para aumentar a segurança das contas, mas um novo ataque conhecido como ‘bombardeio de prompts MFA’ está se tornando uma ameaça real. Nesse ataque, os invasores não precisam roubar o segundo fator de autenticação; eles apenas precisam que o usuário o forneça. O ataque envolve três elementos principais: credenciais de conta válidas, um portal de login que utiliza MFA baseada em push e uma vítima que recebe repetidamente solicitações de login. Os atacantes tentam enganar ou cansar a vítima até que ela aprove a solicitação. Um exemplo notável desse ataque ocorreu na Cisco em 2022, onde um invasor conseguiu acessar a rede da empresa após enganar um funcionário para aceitar um prompt de MFA. Para mitigar esses riscos, as organizações devem considerar fatores de MFA mais resistentes ao phishing, bloquear senhas comprometidas e adicionar sinais de risco ao processo de login. Embora o MFA continue sendo uma ferramenta importante, é crucial revisar as práticas atuais para garantir uma proteção eficaz contra essas novas táticas de ataque.

Recentemente, a empresa de cibersegurança ReliaQuest identificou um ataque direcionado a dispositivos SonicWall Gen6 SSL-VPN, onde atores de ameaças conseguiram contornar a autenticação multifator (MFA) e acessar redes internas. O ataque, que levou entre 30 a 60 minutos para ser executado, envolveu a força bruta de credenciais VPN e a exploração da vulnerabilidade CVE-2024-12802. Essa falha permite que um invasor com credenciais válidas autentique-se diretamente, ignorando a MFA. Embora muitos dispositivos estivessem com o firmware atualizado, a falta de reconfiguração manual do servidor LDAP deixou as redes vulneráveis. Em um dos incidentes analisados, o invasor conseguiu acessar um servidor de arquivos em menos de meia hora e tentou implantar ferramentas como o Cobalt Strike, mas foi bloqueado por soluções de detecção de endpoint. A SonicWall já emitiu um aviso de segurança, alertando que a simples atualização do firmware não é suficiente para mitigar a vulnerabilidade, sendo necessária uma reconfiguração adicional. Dada a gravidade da situação e a possibilidade de exploração em diversos setores, é crucial que as empresas que utilizam esses dispositivos tomem medidas imediatas para garantir a segurança de suas redes.

A Microsoft alertou que um grupo de hackers conhecido como Storm-2949 está explorando a funcionalidade de redefinição de senha em seus serviços, como Microsoft 365 e Azure, para sequestrar contas de usuários. O ataque ocorre quando os criminosos identificam suas vítimas, obtêm seus números de telefone e e-mails, e iniciam o processo de redefinição de senha. Em seguida, eles ligam para as vítimas, se passando por técnicos de TI, e convencem-nas a aprovar um prompt de autenticação multifatorial (MFA). Com isso, os hackers conseguem redefinir a senha e acessar informações sensíveis. A Microsoft descreveu essa campanha como metódica e sofisticada, destacando que os atacantes conseguiram baixar milhares de arquivos de contas comprometidas. Para se proteger, a empresa recomenda que os usuários limitem as permissões de controle de acesso baseado em função (RBAC) no Azure e monitorem operações de gerenciamento de alto risco. As medidas de segurança incluem a retenção de logs do Azure Key Vault e a restrição de acesso público a esses cofres, além de opções de proteção de dados no Azure Storage.

A identidade tem sido um pilar fundamental da cibersegurança, onde a verificação do usuário garante o acesso seguro. No entanto, com a evolução das ameaças, como o uso de inteligência artificial e kits de phishing sofisticados, essa abordagem está se mostrando insuficiente. A autenticação multifatorial (MFA) foi criada para mitigar esses riscos, mas ataques modernos conseguem contornar essa proteção, capturando tokens de sessão mesmo após a autenticação bem-sucedida. O NIST já alertava sobre a necessidade de não confiar implicitamente na segurança após a autenticação inicial, enfatizando a importância de verificar a postura de segurança do dispositivo ao longo de toda a sessão. A maioria das organizações ainda trata a autenticação como um evento único, ignorando que a segurança do dispositivo pode mudar durante a sessão. Para uma abordagem mais robusta, é necessário combinar a verificação contínua do dispositivo com a identidade, garantindo que o acesso permaneça condicionado à saúde do dispositivo, e não apenas à prova de identidade. Isso reduz a eficácia de credenciais roubadas e melhora a segurança geral.

Um novo grupo de cibercriminosos está utilizando uma plataforma de phishing como serviço (PhaaS) chamada VENOM, que visa coletar credenciais de executivos de alto escalão, como CEOs e CFOs, em diversas indústrias. A operação, que está ativa desde novembro do ano passado, se destaca por sua abordagem direcionada e personalizada, utilizando e-mails que imitam notificações do Microsoft SharePoint. Esses e-mails são elaborados com detalhes que aumentam a credibilidade, incluindo códigos QR que redirecionam as vítimas para páginas de captura de credenciais.

Em fevereiro de 2026, a empresa de serviços financeiros Figure sofreu uma violação de dados que expôs cerca de 967.200 registros de e-mail. O incidente não envolveu exploração de vulnerabilidades, mas sim a exposição direta de dados, permitindo que adversários realizassem ataques como credential stuffing e phishing direcionado. Os atacantes podem usar os e-mails expostos para testar combinações de senhas em portais corporativos, resultando em uma taxa de sucesso de 2 a 3%, o que poderia significar até 29.000 credenciais válidas. Além disso, ferramentas de inteligência artificial permitem a criação rápida de campanhas de phishing personalizadas, aumentando a eficácia dos ataques. A análise destaca que a autenticação multifator (MFA) tradicional não é suficiente para interromper esses fluxos de ataque, pois os adversários podem usar técnicas como relay de phishing, onde as credenciais são capturadas em tempo real. O artigo enfatiza a necessidade de uma arquitetura de autenticação mais robusta, que inclua verificação biométrica e chaves privadas de hardware, para garantir que o usuário autorizado esteja presente no momento da autenticação. Com a crescente preocupação sobre a segurança de dados e a conformidade com a LGPD, as organizações precisam reavaliar suas estratégias de autenticação para proteger informações sensíveis.

Em 2026, o roubo de credenciais se destaca como uma das principais preocupações em cibersegurança. Um estudo recente revelou que 85% das organizações consideram esse risco elevado, com 62% o colocando entre suas três principais prioridades de segurança. No entanto, muitas empresas ainda adotam soluções superficiais, como a autenticação multifator (MFA) e ferramentas genéricas, sem perceber que essas medidas não protegem adequadamente contra acessos não autorizados, especialmente quando os funcionários utilizam dispositivos não gerenciados para acessar serviços críticos. O custo médio de uma violação de dados envolvendo credenciais comprometidas pode variar entre 4,81 e 4,88 milhões de dólares, evidenciando a gravidade da situação. Além disso, em 2025, foram identificadas 4,17 bilhões de credenciais comprometidas, o que torna a simples monitoração de violações insuficiente. A pesquisa aponta que apenas 32% das empresas utilizam soluções dedicadas para monitoramento de credenciais, enquanto 60% realizam verificações de credenciais expostas raramente ou nunca. Para enfrentar essa ameaça, é necessário um programa de monitoramento de violações mais robusto, que inclua automação e integração com ferramentas de segurança existentes, permitindo uma resposta mais eficaz a incidentes.

O relatório anual de ameaças de 2026 da Blackpoint Cyber revela uma mudança significativa no comportamento de atacantes, que agora utilizam credenciais válidas e ferramentas legítimas para realizar intrusões em organizações. O estudo, baseado em milhares de investigações de segurança, destaca que 32,8% dos incidentes analisados envolveram abuso de VPN SSL, onde os atacantes se autenticaram com credenciais comprometidas, permitindo acesso a redes internas sem acionar alarmes. Além disso, 30,3% dos casos envolveram o uso indevido de ferramentas de Monitoramento e Gerenciamento Remoto (RMM), como o ScreenConnect, que se misturaram com atividades normais de TI. O relatório também aponta que campanhas de engenharia social, como as que utilizam CAPTCHAs falsos, foram responsáveis por 57,5% dos incidentes, mostrando que a interação do usuário é um fator crítico. Apesar da implementação de autenticação multifator (MFA) em muitos ambientes de nuvem, ataques de phishing ainda resultaram em compromissos de contas, com 16% dos casos documentados. O relatório sugere que as equipes de segurança tratem o acesso remoto como uma atividade de alto risco e mantenham um inventário rigoroso das ferramentas de RMM utilizadas.

Embora as equipes de TI invistam consideravelmente na segurança de logins, muitas vezes não aplicam o mesmo rigor na redefinição de senhas. Um processo de redefinição fraco se torna um alvo lógico para atacantes, que podem escalar privilégios e se infiltrar em redes, assumindo identidades legítimas. O artigo destaca como os atacantes exploram caminhos de redefinição de senhas, como contas comprometidas, engenharia social e interceptação de tokens de redefinição. Para mitigar esses riscos, são apresentadas sete práticas recomendadas: exigir autenticação multifatorial (MFA), fortalecer a segurança dos dispositivos, impor políticas de senhas robustas, educar usuários e equipes de suporte, realizar auditorias regulares, implementar o princípio do menor privilégio e evitar autenticação baseada em conhecimento. A adoção dessas medidas pode proteger as organizações contra a escalada de privilégios e garantir a segurança dos dados. A segurança das redefinições de senhas é essencial para a proteção do ciclo de vida das contas, e soluções como o Specops uReset podem ajudar a fortalecer esses processos.

Pesquisadores de cibersegurança revelaram detalhes sobre uma nova suíte de phishing chamada Starkiller, que utiliza páginas de login legítimas para contornar as proteções de autenticação multifator (MFA). O grupo de ameaças Jinkusu promove essa plataforma como um serviço de cibercrime, permitindo que usuários escolham marcas para imitar ou insiram URLs reais. A técnica de proxy de páginas de login permite que os atacantes atualizem suas páginas de phishing em tempo real, sem a necessidade de modificar templates. Isso é feito através de uma instância do Chrome sem interface gráfica, que atua como um proxy reverso entre o usuário e o site legítimo, capturando todas as entradas do usuário. Além disso, a evolução de kits de phishing, como o 1Phish, mostra um aumento na sofisticação das ameaças, com a capacidade de capturar códigos de autenticação de um único uso (OTPs) e implementar lógica de impressão digital do navegador para filtrar bots. As campanhas de phishing estão se tornando mais complexas, com ataques direcionados a empresas e instituições financeiras, utilizando técnicas avançadas para evitar a detecção. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que dependem de MFA para proteger suas contas.

Um em cada três ataques cibernéticos envolve contas de funcionários comprometidas, levando seguradoras e reguladores a enfatizarem a postura de identidade na avaliação de riscos cibernéticos. A higiene de senhas, a gestão de acesso privilegiado e a cobertura de autenticação multifatorial (MFA) são fatores cruciais que influenciam os custos de seguros. Com o custo médio de uma violação de dados alcançando US$ 4,4 milhões em 2025, mais organizações estão buscando seguros cibernéticos para gerenciar sua exposição financeira. No Reino Unido, a cobertura aumentou de 37% em 2023 para 45% em 2025, mas o aumento no volume de reivindicações está levando as seguradoras a endurecerem os requisitos de subscrição. As seguradoras buscam evidências de que as organizações compreendem e gerenciam ativamente os riscos associados à segurança de identidade. Medidas como auditorias regulares de higiene de senhas e a implementação abrangente de MFA são essenciais para demonstrar maturidade na gestão de riscos. Para melhorar a pontuação de segurança de identidade, as organizações devem eliminar senhas fracas, aplicar MFA em todos os acessos críticos, reduzir o acesso privilegiado permanente e revisar regularmente as permissões de acesso.

Em dezembro de 2025, o npm implementou uma reforma significativa em seu sistema de autenticação após o incidente Sha1-Hulud, visando reduzir ataques à cadeia de suprimentos. A mudança mais notável foi a revogação de tokens clássicos, que eram longos e permanentes, substituídos por tokens de sessão de curta duração, geralmente válidos por duas horas. Além disso, o npm agora prioriza a autenticação multifator (MFA) para operações sensíveis, como a publicação de pacotes. Apesar dessas melhorias, o npm ainda enfrenta riscos, como ataques de phishing direcionados a credenciais MFA e a possibilidade de desenvolvedores criarem tokens de 90 dias com bypass de MFA. Isso significa que, se um invasor obtiver acesso ao console de um mantenedor, ele pode publicar pacotes maliciosos. Para mitigar esses riscos, o artigo sugere que o uso de OIDC (OpenID Connect) se torne padrão e que a MFA seja obrigatória para uploads de pacotes. Além disso, construir pacotes a partir de código-fonte verificável, como faz a Chainguard, poderia reduzir significativamente a superfície de ataque, já que 98,5% dos pacotes maliciosos não continham malware no código-fonte original. Portanto, embora o npm tenha dado passos importantes, a segurança da cadeia de suprimentos ainda requer atenção contínua.

As senhas continuam sendo um ponto crítico na interseção entre usabilidade e segurança. Embora controles de autenticação sejam implementados para fortalecer a segurança, eles frequentemente introduzem complexidade, levando os usuários a optarem por padrões familiares em vez de credenciais verdadeiramente imprevisíveis. Isso resulta em senhas que muitas vezes derivam da linguagem específica da organização. Os atacantes têm explorado esse comportamento, utilizando ferramentas como o CeWL, que coleta palavras de sites para criar listas de senhas altamente direcionadas. O NIST SP 800-63B recomenda evitar palavras específicas do contexto, mas a implementação dessa orientação exige compreensão sobre como os atacantes operam. A análise de mais de seis bilhões de senhas comprometidas revela que muitas senhas geradas ainda atendem aos requisitos de complexidade, mas permanecem fracas devido à sua construção a partir de termos organizacionais familiares. Para mitigar esses ataques, é essencial bloquear senhas derivadas de contextos conhecidos, exigir frases de senha longas e implementar autenticação multifator (MFA). Essas medidas não apenas melhoram a segurança, mas também refletem a realidade dos ataques a senhas.

A Mandiant, empresa de cibersegurança pertencente ao Google, identificou um aumento nas atividades de grupos de hackers, como o ShinyHunters, que utilizam táticas de engenharia social para realizar ataques de extorsão. Esses ataques envolvem phishing por voz (vishing) e sites falsos de coleta de credenciais, visando obter acesso não autorizado a ambientes de empresas, especialmente em aplicações de software como serviço (SaaS). O objetivo final é roubar dados sensíveis e extorquir as vítimas. Os grupos estão sendo monitorados sob diferentes clusters, como UNC6661 e UNC6671, que têm se mostrado adaptáveis em suas táticas. A Mandiant recomenda que as empresas adotem medidas de segurança, como a implementação de autenticação multifatorial resistente a phishing e melhorias nos processos de suporte técnico. A situação destaca a eficácia da engenharia social e a necessidade de as organizações se protegerem contra essas ameaças emergentes.

As equipes de segurança em empresas ágeis e em rápido crescimento enfrentam o desafio de proteger os negócios sem comprometer a agilidade. O Google Workspace oferece uma base sólida de segurança, mas suas ferramentas nativas têm limitações, especialmente em relação a ataques direcionados, como o Business Email Compromise (BEC) e phishing. O e-mail continua sendo o principal vetor de ataque, e a proteção nativa do Gmail pode falhar em detectar ameaças sofisticadas. Para melhorar a segurança do Gmail, recomenda-se ativar a varredura avançada, implementar protocolos de autenticação como SPF, DKIM e DMARC, e adotar a autenticação multifatorial (MFA). Além disso, é crucial desativar protocolos legados que não suportam MFA e gerenciar o acesso a aplicativos de terceiros. A plataforma Material Security complementa o Google Workspace, oferecendo proteção avançada contra e-mails e segurança contextual das contas, além de descobrir e proteger dados sensíveis. Com a crescente complexidade das ameaças, é vital que as empresas adotem uma abordagem proativa para garantir a segurança de suas informações e operações.

A autenticação sem senha surge como uma alternativa viável às senhas tradicionais, que atualmente representam um desafio para os usuários, que precisam gerenciar em média 168 senhas. O uso de senhas tem se tornado cada vez menos seguro, com o fenômeno da ‘fadiga de senhas’ levando os usuários a reutilizarem credenciais fracas, tornando-os vulneráveis a ataques como phishing e credential stuffing. A autenticação sem senha utiliza métodos como biometria (impressão digital, reconhecimento facial) e chaves de segurança, proporcionando uma experiência de login mais fluida e segura.

No combate ao cibercrime, muitas vezes pensamos em hackers sofisticados e códigos complexos, mas o relatório da Verizon Business 2025 revela que quase 60% das violações de dados envolvem o fator humano. Técnicas de engenharia social, como phishing e pretexting, continuam a ser as mais comuns, utilizando elementos do nosso cotidiano digital, como notificações de entrega e solicitações de redefinição de senha, para enganar os usuários. Os criminosos cibernéticos estão se aproveitando da confiança que depositamos em plataformas digitais, criando armadilhas que se disfarçam como atualizações legítimas ou links de newsletters confiáveis. Além disso, novas táticas, como induzir usuários a copiar e colar comandos maliciosos, estão transformando ferramentas comuns em cúmplices involuntários. Mesmo a autenticação multifatorial (MFA), considerada uma defesa robusta, está sendo explorada por criminosos através de plataformas de phishing. A defesa mais eficaz contra essas ameaças não é apenas software, mas sim indivíduos informados e vigilantes. A cibersegurança deve ser uma preocupação coletiva, exigindo pensamento crítico e ceticismo em cada interação online.

O artigo aborda os desafios enfrentados por equipes de segurança em startups em crescimento rápido, especialmente no contexto do Google Workspace. A principal missão é proteger a organização sem comprometer a agilidade dos negócios. O Google Workspace, embora ofereça uma base sólida de segurança, requer configurações adequadas e monitoramento constante para evitar brechas. O texto destaca práticas essenciais, como a implementação de autenticação multifator (MFA), o endurecimento do acesso administrativo, a configuração de compartilhamento seguro e o controle de acesso a aplicativos OAuth. Além disso, enfatiza a importância de proteger o e-mail contra ameaças, monitorar tentativas de invasão e entender os dados sensíveis armazenados. O artigo também menciona que, apesar das ferramentas nativas de segurança, ainda existem lacunas que podem ser preenchidas por soluções adicionais, como a Material Security, que oferece proteção avançada contra phishing e detecção de contas comprometidas. A abordagem sugere um equilíbrio entre colaboração e controle, permitindo que as equipes de segurança mantenham a produtividade enquanto protegem os dados da empresa.

O ransomware Akira está explorando a vulnerabilidade CVE-2024-40766 para acessar dispositivos VPN SSL da SonicWall, mesmo em contas que utilizam autenticação multifator (MFA). Pesquisadores de segurança, como os da Arctic Wolf Labs, relataram um aumento nos logins maliciosos em instâncias da SonicWall SSL VPN, sugerindo que os atacantes conseguiram comprometer as sementes de senhas de uso único (OTP), permitindo que contornassem as proteções de MFA. Apesar de a SonicWall ter lançado patches e recomendado a redefinição de credenciais, os ataques continuam a ocorrer. O Google identificou um grupo de ameaças, denominado UNC6148, que está utilizando credenciais e sementes de OTP roubadas em campanhas de ataque direcionadas a dispositivos SonicWall SMA 100, que estão fora de suporte. Isso levanta preocupações significativas sobre a eficácia das medidas de segurança implementadas, uma vez que os atacantes estão conseguindo autenticar-se em contas protegidas por MFA. A situação destaca a necessidade de vigilância contínua e de ações proativas para proteger as infraestruturas de TI contra essas ameaças emergentes.

O caso da KNP Logistics Group, que operou por 158 anos, ilustra a fragilidade da segurança cibernética em empresas, mesmo as mais estabelecidas. Em junho de 2025, a empresa foi alvo do grupo de ransomware Akira, que acessou seus sistemas ao adivinhar uma senha fraca de um funcionário. A falta de autenticação multifatorial (MFA) permitiu que os hackers se infiltrassem facilmente, criptografando dados críticos e destruindo backups, resultando em uma demanda de resgate de £5 milhões. Apesar de ter seguro contra ataques cibernéticos e conformidade com normas de TI, a KNP não conseguiu se recuperar e acabou entrando em administração, resultando na demissão de 700 funcionários. O incidente destaca a importância de políticas de senhas robustas e da implementação de MFA, além de um plano de recuperação de desastres eficaz. Com 19.000 empresas no Reino Unido atacadas por ransomware no último ano, a situação é alarmante e exige atenção urgente das organizações para evitar consequências devastadoras.

A Microsoft anunciou que, a partir de outubro de 2024, a autenticação multifator (MFA) será obrigatória para todos os acessos ao portal Azure, como parte de um esforço para aumentar a segurança das contas dos usuários. Pesquisas da empresa indicam que a implementação da MFA pode prevenir mais de 99,2% dos ataques de comprometimento de contas, tornando essa medida crucial para a proteção de recursos na nuvem. A primeira fase da implementação exigirá MFA para operações administrativas em portais como o Azure e o Microsoft 365, enquanto a segunda fase, prevista para outubro de 2025, incluirá ferramentas de linha de comando e APIs. Os usuários que já utilizam MFA ou métodos de login sem senha não notarão mudanças, mas aqueles que não configuraram a MFA serão solicitados a fazê-lo ao tentar acessar suas contas. A Microsoft recomenda que as organizações revisem suas políticas de acesso condicional e realizem testes antes da implementação para evitar interrupções. Essa mudança visa reduzir a superfície de ataque e proteger recursos críticos contra acessos não autorizados.

Uma nova campanha de roubo de credenciais, identificada como MCTO3030 pela equipe de pesquisa de ameaças da Mimecast, está atacando administradores dos serviços em nuvem ConnectWise ScreenConnect. Desde 2022, essa operação tem utilizado táticas avançadas de phishing direcionado, visando profissionais de TI com privilégios de superadministrador. Os ataques são realizados através do Amazon Simple Email Service (SES), permitindo alta taxa de entrega ao explorar uma infraestrutura respeitável para contornar mecanismos de filtragem. Os e-mails, que imitam alertas de segurança corporativa, induzem os destinatários a clicar em um botão de “Revisar Segurança”, redirecionando-os para páginas de login falsas do ScreenConnect. Essas páginas utilizam frameworks EvilGinx para capturar credenciais de login e códigos de autenticação multifatorial (MFA) em tempo real, permitindo que os atacantes obtenham acesso total, mesmo com MFA em vigor. Com as credenciais de superadministrador, os cibercriminosos podem se mover lateralmente em ambientes corporativos, potencialmente implantando clientes remotos e distribuindo cargas maliciosas, como ransomware. A Mimecast recomenda que as organizações adotem medidas de defesa, como MFA resistente a phishing e restrições de acesso para superadministradores.