Um único e-mail de phishing enviado a um pequeno grupo de funcionários, em maio de 2026, terminou virando um incidente de segurança que atravessou múltiplas organizações. A Infoblox rastreou essa campanha, batizada de “Procurement Trap”, até descobrir o mecanismo por trás: assim que uma caixa de entrada do Outlook era comprometida, os próprios atacantes a reaproveitavam para reenviar o mesmo tipo de isca, dessa vez para contatos internos e parceiros externos da vítima, multiplicando o alcance a cada nova conta sequestrada. O alvo não era aleatório: universidades, multinacionais e organizações ligadas à União Europeia e às Nações Unidas.
Esse padrão, uma caixa de entrada comprometida virando plataforma de lançamento para o próximo ataque, é o núcleo deste artigo. Já detalhamos em profundidade a mecânica técnica do roubo de token via AiTM no artigo sobre phishing que burla o MFA no Microsoft 365; aqui o foco é o que acontece quando o Outlook comprometido deixa de ser só o ponto de entrada e passa a ser a própria arma.
O Que é Sequestro de Sessão (Session Hijacking)?
Diferença entre roubo de senha e roubo de sessão
Roubo de senha exige a credencial e costuma esbarrar no MFA. Roubo de sessão pega o processo depois do login: a sessão já autenticada, com o MFA já cumprido, é copiada e reutilizada em outro lugar. O invasor não precisa de senha nenhuma, porque não está fingindo ser o usuário no momento do login, está reaproveitando uma prova de identidade que já foi validada por completo.
Como funcionam os tokens de autenticação
Cookies de sessão, tokens OAuth e refresh tokens são o que permite que um usuário fique logado sem digitar senha a cada clique. Esse é justamente o ativo que os ataques descritos aqui capturam. O conceito e o funcionamento detalhado de cada um desses artefatos já estão cobertos no artigo sobre phishing que burla o MFA no Microsoft 365; o que importa reter aqui é que, uma vez capturado, esse conjunto de tokens vale tanto quanto a senha e o MFA juntos.
Como Criminosos Usam Caixas de Entrada Comprometidas do Outlook
Etapa 1: comprometimento inicial da conta
Na campanha Procurement Trap, tudo começou com um único e-mail de phishing, com tema de solicitação de cotação ou convite para licitação, endereçado a um grupo pequeno de funcionários. O clique levava a uma página falsa de compartilhamento de arquivos, hospedada em domínios comprometidos ou envelhecidos, do tipo que já hospedou conteúdo legítimo no passado e por isso não levanta suspeita em filtros baseados em reputação de domínio. Depois de um CAPTCHA e uma sequência de redirecionamentos, a vítima chegava numa página de login clonada do Microsoft 365, operada por um kit de proxy reverso — entre os identificados na campanha, EvilProxy, FlowerStorm e Kali365.
Etapa 2: monitoramento silencioso da caixa postal
Uma vez dentro, criar uma regra de caixa postal é um dos primeiros movimentos mais comuns. Segundo pesquisadores da Proofpoint, cerca de 40% das contas Microsoft 365 comprometidas analisadas tinham pelo menos uma regra maliciosa criada logo após a invasão. Essas regras encaminham, excluem ou movem mensagens automaticamente, muitas vezes para uma pasta que ninguém checa, como “Assinaturas RSS”, uma pasta padrão do Outlook que quase nenhum usuário usa ou revisita.
O problema técnico é que essas regras costumam ficar invisíveis para o próprio dono da conta e até para quem administra o Exchange Online pela interface padrão. Segundo a Huntress, encontrar uma regra oculta exige rodar o comando Get-InboxRule -IncludeHidden via PowerShell, já que o parâmetro força uma consulta direta ao armazenamento da caixa postal, contornando os filtros que escondem a regra da visualização normal. Rodar esse comando manualmente conta por conta não é viável em escala, e é por isso que esse tipo de persistência sobrevive despercebida por semanas ou meses.
Etapa 3: sequestro da sessão e reuso da caixa como plataforma de ataque
No momento em que a vítima completa o login na página falsa, incluindo o desafio de MFA, o proxy reverso já capturou o cookie de sessão emitido pela Microsoft. O atacante reutiliza esse cookie para abrir uma sessão autenticada própria, sem precisar de senha nem de um novo MFA. A partir desse ponto, a caixa de entrada comprometida deixa de ser só um alvo e passa a funcionar como infraestrutura: no caso do Procurement Trap, os atacantes reenviaram as mesmas iscas a partir das contas já comprometidas, tanto para dentro da organização quanto para parceiros externos, o que explica como o incidente se espalhou entre múltiplas instituições a partir de um ponto de entrada único.
Por Que Esses Ataques São Tão Perigosos?
Três fatores concentram o risco. O MFA tradicional, por si só, não impede um sequestro de sessão, porque a interceptação acontece depois que o MFA já foi cumprido pelo usuário legítimo, não durante. A persistência é praticamente invisível: a sessão continua válida, e o sistema não tem como distinguir o invasor do usuário de verdade, já que tecnicamente as credenciais usadas são as mesmas. E a detecção por ferramentas tradicionais falha, porque não existe malware para um antivírus encontrar nem tráfego malicioso óbvio para um firewall bloquear, só um login que parece legítimo usando um token que também parece legítimo. Detectar esse tipo de atividade exige monitoramento comportamental, não assinatura.
Quais os Riscos Para Empresas que Usam Microsoft 365?
Fraude de e-mail corporativo (BEC)
Segundo o Relatório de Crimes na Internet de 2024 do FBI, citado pela Huntress, BEC foi o segundo crime cibernético mais custoso do ano, com US$ 2,77 bilhões em prejuízos reportados. Na prática, essa fraude se sustenta na combinação de sequestro de sessão com manipulação de regras de caixa postal: pesquisadores identificaram um painel de operação chamado ARToken, que compartilha infraestrutura com o kit EvilTokens, com a capacidade específica de manipular regras de caixa postal depois de obter acesso, ocultando ou redirecionando qualquer resposta relacionada a uma solicitação de pagamento fraudulenta. O titular legítimo da conta nunca percebe que um fornecedor está respondendo a mensagens que ele nunca enviou.
Vazamento de dados corporativos e movimento lateral
Uma sessão sequestrada herda as mesmas permissões do usuário legítimo, o que inclui contratos, informações financeiras e propriedade intelectual armazenados no SharePoint e no OneDrive. A mesma identidade comprometida costuma dar acesso ao Teams e a aplicações SaaS conectadas via SSO, ampliando o alcance do incidente para além da caixa de e-mail original. Em casos mais graves, esse tipo de acesso inicial também serve de ponto de apoio para ataques destrutivos mais amplos, como detalhamos no artigo sobre o malware GigaWiper.
Indicadores de Comprometimento que Sua Equipe Deve Investigar
- Logins suspeitos: acessos de países fora do padrão da empresa, endereços associados a Tor ou VPNs anônimas comerciais
- Regras de e-mail desconhecidas: encaminhamento automático para fora do domínio, exclusão automática de mensagens específicas, ou movimentação para pastas pouco usadas como “Assinaturas RSS” ou “Arquivo Morto”
- Uso anormal de aplicações OAuth: aplicativos desconhecidos com permissão de leitura de e-mail ou arquivos, concedidos por consentimento que o usuário não lembra de ter dado
Como o Microsoft Entra ID Ajuda a Detectar Esse Tipo de Ataque?
Identity Protection classifica usuários e sign-ins por nível de risco, cruzando sinais como localização incomum e padrões de acesso atípicos. Conditional Access aplica essas informações na prática, bloqueando ou exigindo autenticação mais forte conforme o risco detectado. Continuous Access Evaluation revoga sessões quase em tempo real quando um evento crítico acontece, como desativação de conta ou detecção de risco elevado, reduzindo a janela em que um token roubado continua útil. Detalhamos como configurar cada uma dessas camadas, incluindo os limites reais de cada uma, no artigo sobre phishing que burla o MFA no Microsoft 365.
Como o Microsoft Defender Detecta o Sequestro de Sessão?
Defender for Office 365 e Defender XDR
Safe Links e Safe Attachments reduzem a chance de o e-mail inicial de phishing chegar até a caixa de entrada. Uma vez que o clique acontece, o Defender XDR correlaciona esses sinais com sign-ins de risco do Entra ID Protection e com atividade anômala detectada pelo Defender for Cloud Apps, montando a cadeia completa do ataque para investigação e hunting avançado.
Microsoft Security Copilot
Onde o Defender XDR correlaciona sinais automaticamente, o Security Copilot acelera a parte que ainda dependia de um analista reunir contexto manualmente. Em linguagem natural, ele resume a cadeia de um incidente, sugere os próximos passos de investigação e ajuda a redigir a resposta para as etapas de contenção. Isso importa porque o tempo entre detecção e contenção costuma decidir se um sequestro de sessão vira um incidente contido ou uma fraude de pagamento em andamento.
Boas Práticas Para Reduzir o Risco
- MFA resistente a phishing — passkeys, FIDO2 e Windows Hello for Business, métodos que não podem ser repassados por um proxy
- Auditoria mensal de consentimentos OAuth — revisar aplicações aprovadas e reduzir privilégios concedidos além do necessário
- Monitoramento contínuo — MDR, XDR, SIEM e threat hunting ativo, já que boa parte desses ataques só aparece em correlação de sinais, não num alerta isolado
- Treinamento de usuários — reconhecimento de phishing, engenharia social e verificação de qualquer solicitação financeira por um segundo canal antes de agir
O Papel do MDR e XDR na Proteção do Microsoft 365
Ferramentas isoladas cobrem uma fatia do problema cada uma, mas esse tipo de ataque atravessa identidade, e-mail e endpoint ao mesmo tempo. Um alerta de sign-in de risco, sozinho, pode não significar nada. O mesmo alerta cruzado com uma regra de caixa postal criada minutos depois e um consentimento OAuth concedido na sequência conta uma história completamente diferente — e essa correlação multidomínio é justamente o que ferramentas isoladas não enxergam.
Um serviço de MDR entrega monitoramento 24×7, resposta rápida a incidentes já identificados e caça ativa a ameaças que ainda não geraram alerta automático. Para a maioria das empresas de médio porte, montar essa capacidade internamente, com equipe própria rodando plantão contínuo, custa mais e demora mais para amadurecer do que contratar o serviço já pronto.
A InfoB combina MDR com Microsoft Defender XDR, Microsoft Entra ID e Security Copilot para monitorar identidade, e-mail e endpoint como uma cadeia só, não como sistemas isolados. Solicite uma avaliação gratuita de segurança do Microsoft 365 e descubra vulnerabilidades em identidades, e-mails e acessos corporativos antes que alguém mais rápido as encontre primeiro. Fale com um especialista da InfoB.
Conclusão
A campanha Procurement Trap confirma uma mudança que já vinha se desenhando: criminosos migraram de ataques que buscam uma senha para ataques que buscam uma identidade inteira, sessão incluída. MFA sozinho não resolve todos os riscos dessa mudança, porque ele protege o momento do login, não o que vem depois. Regras de caixa postal ocultas, consentimentos OAuth esquecidos e sessões sequestradas raramente aparecem como um alerta único e óbvio; aparecem como sinais espalhados que só fazem sentido quando correlacionados. Organizações que usam Microsoft 365 precisam de prevenção, detecção e resposta trabalhando juntas, porque nenhuma das três, isolada, cobre a distância entre um e-mail de phishing e uma fraude de pagamento em andamento.
Perguntas Frequentes
O que é sequestro de sessão no Microsoft 365?
É o roubo do token ou cookie gerado depois que um usuário já completou o login, incluindo o MFA. Em vez de precisar da senha, o invasor reutiliza essa sessão já autenticada e acessa a conta como se fosse o próprio usuário, sem precisar logar de novo.
É possível invadir uma conta Microsoft 365 mesmo com MFA habilitado?
Sim, quando o ataque intercepta a sessão depois que o MFA já foi cumprido, em vez de tentar quebrar o próprio MFA. É esse o mecanismo usado nos ataques de AiTM (adversary-in-the-middle) descritos neste artigo.
Como saber se minha conta Outlook foi comprometida?
Verifique regras de caixa postal que você não criou, principalmente as que encaminham ou ocultam mensagens; logins de países ou dispositivos incomuns nos logs de sign-in do Entra ID; e aplicações OAuth com permissões que você não reconhece ou não autorizou conscientemente.
O Microsoft Defender detecta roubo de tokens?
O Defender XDR correlaciona sinais de várias fontes, cliques em links maliciosos, sign-ins de risco, comportamento anômalo de sessão, para identificar padrões de AiTM, mas a detecção normalmente acontece depois que a sessão já foi comprometida. Ele funciona como camada de resposta, não como bloqueio no momento do clique.
Qual a melhor forma de proteger identidades no Microsoft 365?
Uma combinação de camadas: MFA resistente a phishing (FIDO2, passkeys), Conditional Access com Token Protection, Continuous Access Evaluation, auditoria regular de regras de caixa postal e de consentimentos OAuth, e monitoramento contínuo via MDR ou XDR para pegar o que passar pelas camadas anteriores.