Microsoft Entra Id

Pesquisadores da Proofpoint identificaram uma nova técnica de evasão chamada spoofing de OAuth client ID, utilizada por grupos de ameaças para comprometer ambientes do Microsoft Entra ID. Essa técnica permite que atacantes enumerem contas de usuários e validem credenciais roubadas sem gerar eventos de login bem-sucedidos, o que dificultaria a detecção por parte das equipes de segurança. Ao explorar a forma como o Entra ID responde a IDs de cliente inválidos, os atacantes conseguem inferir a validade de nomes de usuários e senhas em larga escala. Dois grupos distintos, UNK_pyreq2323 e UNK_OutFlareAZ, foram observados utilizando essa técnica, atacando milhões de contas em milhares de locatários. A primeira campanha usou mais de 700 mil IDs de cliente falsificados, enquanto a segunda empregou 3,7 milhões de IDs aleatórios. A falta de registros de nomes de aplicativos nos logs de sign-in do Entra torna a detecção dessas atividades ainda mais desafiadora. As organizações devem revisar suas políticas de acesso condicional, pois os IDs de cliente falsificados não acionam essas políticas, permitindo que os atacantes operem com maior discrição.

Uma nova vulnerabilidade identificada no Microsoft Entra ID, especificamente na função de administrador de ID de agente, pode permitir ataques de escalonamento de privilégios e tomada de identidade. Essa função, destinada a gerenciar a identidade de agentes de inteligência artificial (IA), permite que usuários com essa atribuição assumam o controle de outros principais de serviço, o que pode resultar em um comprometimento significativo da segurança do ambiente. A falha foi descoberta pela Silverfort e, após a divulgação responsável em 1º de março de 2026, a Microsoft lançou um patch em 9 de abril para corrigir a questão. O problema reside na forma como as permissões são aplicadas, permitindo que um agente assuma a propriedade de principais de serviço não relacionados a agentes, o que pode levar a um controle mais amplo sobre o inquilino, especialmente se esses principais tiverem permissões elevadas. As organizações são aconselhadas a monitorar o uso de funções sensíveis e a proteger os principais de serviço privilegiados para mitigar os riscos associados a essa vulnerabilidade.