Password-Spraying

Um ataque de password-spraying comprometeu contas do Microsoft 365, resultando em mais de 81 milhões de tentativas de login em um período de duas semanas. Os hackers utilizaram credenciais roubadas e exploraram políticas de acesso condicional mal configuradas para contornar a autenticação multifator (MFA). A campanha, observada pela empresa de cibersegurança Huntress, afetou 78 contas Microsoft em 64 organizações entre 12 e 26 de junho de 2026. Muitas das empresas visadas não tinham MFA implementada ou a aplicavam de forma inadequada, permitindo que os atacantes enviassem senhas diretamente ao endpoint de token sem um prompt de MFA interativo. Para mitigar esses riscos, recomenda-se que as organizações implementem MFA para todos os usuários e aplicativos em nuvem, restrinjam o uso do Azure CLI e respondam com base na validade das credenciais em vez do volume de tentativas de login.

Uma intensa campanha de ataque de password-spraying direcionada a ambientes Microsoft 365 resultou em mais de 81 milhões de tentativas de login em um período de duas semanas. Os atacantes tentaram autenticar-se utilizando combinações de nomes de usuário e senhas que foram expostas em brechas anteriores. O ataque foi realizado através da interface de linha de comando do Azure da Microsoft, que permite a administração de recursos em nuvem. Ao encontrar uma combinação válida, os hackers conseguiram autenticar-se usando o mecanismo OAuth ROPC (Resource Owner Password Credentials), contornando a autenticação multifator (MFA) em muitos casos devido a políticas de Acesso Condicional inseguras. A empresa de cibersegurança Huntress monitorou a campanha entre 12 e 26 de junho, confirmando que 78 contas Microsoft foram comprometidas em 64 organizações. Apesar de muitas dessas empresas terem implementado MFA, a configuração não cobria o fluxo específico utilizado pelos atacantes. A Huntress observou um aumento de mais de 155 vezes nos ataques de password-spraying, com uma média de 1.964 tentativas de login falhadas por inquilino a cada mês. O ataque teve seu pico em 22 de junho e, embora a origem do ataque seja desconhecida, foi identificado um intervalo IPv6 pertencente à LSHIY LLC.

Um ator de ameaça vinculado ao Irã está por trás de uma campanha de password spraying direcionada a ambientes Microsoft 365 em Israel e nos Emirados Árabes Unidos (EAU), conforme relatado pela empresa de cibersegurança Check Point. A atividade, que ocorre em três ondas distintas, afetou mais de 300 organizações em Israel e mais de 25 nos EAU, com alvos que incluem entidades governamentais, empresas de tecnologia, transporte e energia. O password spraying é uma técnica de ataque que tenta usar uma única senha comum em múltiplos nomes de usuário, sendo uma abordagem mais eficaz para descobrir credenciais fracas sem acionar defesas de limitação de taxa. Além disso, o grupo de ransomware iraniano Pay2Key também voltou a atacar, visando uma organização de saúde nos EUA, utilizando técnicas avançadas de evasão e execução. A campanha de ransomware, que não resultou em exfiltração de dados, destaca a crescente integração de operações cibernéticas com objetivos políticos por parte do Irã. As organizações são aconselhadas a monitorar logs de acesso, aplicar controles de acesso condicionais e implementar autenticação multifator (MFA) para mitigar esses riscos.