Ataques a Wi‑Fi miram contas do Microsoft 365: entenda a técnica e como se proteger
Ataques direcionados a gateways Wi‑Fi de hotéis e centros de conferências estão sendo usados para roubar contas do Microsoft 365, explorando falhas de configuração, senhas fracas e manipulação de DNS. Pesquisas recentes mostram que essa campanha vem ocorrendo desde junho deste ano e já foi observada em diferentes regiões, como cidades dos EUA, Índia e Arábia Saudita, o que indica uma operação estruturada e em larga escala.
Em vez de atacar diretamente computadores ou celulares, os criminosos focam na infraestrutura de acesso à internet: o gateway Wi‑Fi que faz a ponte entre a rede local do hotel ou centro de convenções e a internet. Ao controlar esse equipamento, eles passam a ter influência sobre parte do tráfego dos usuários conectados, em especial sobre as consultas de DNS, que traduzem nomes de sites em endereços de IP.
Como o ataque começa: invasão do gateway Wi‑Fi
O primeiro estágio consiste em comprometer o gateway Wi‑Fi. Isso geralmente ocorre via interface de gerenciamento do dispositivo, que muitas vezes fica exposta à internet para facilitar a administração remota. Esse “facilitador” vira uma porta de entrada quando são usadas credenciais de login fracas, padrão de fábrica ou reutilizadas em vários equipamentos.
Uma vez autenticados no painel de administração, os atacantes ganham permissão para alterar configurações sensíveis, entre elas as de DNS (Sistema de Nomes de Domínio). Ao trocarem o servidor DNS legítimo por um servidor sob seu controle, os criminosos não precisam “quebrar” criptografia nem invadir cada dispositivo individual: basta manipularem a forma como os endereços são resolvidos. Com isso, conseguem redirecionar acessos a serviços críticos, como o portal de login do Microsoft 365, para páginas falsas preparadas para o roubo de credenciais.
Manipulação de DNS: o coração do golpe
Com o DNS comprometido, toda vez que um usuário conectado àquele Wi‑Fi tenta acessar a página de login da Microsoft, em vez de ser direcionado ao endereço verdadeiro, cai em um site de phishing que imita a página oficial. Os domínios maliciosos usados nessa campanha costumam incluir termos como “ms365” ou “m365”, justamente para gerar confiança e passar despercebidos em uma análise rápida.
Essas páginas são cuidadosamente clonadas: mesma identidade visual, mesmo layout, campos de e‑mail e senha idênticos ao portal legítimo. Quanto mais parecida a página falsa, maior a chance de o usuário não desconfiar e inserir suas credenciais de acesso corporativas ou pessoais. Quando isso ocorre, as informações vão direto para os atacantes, que podem entrar na conta da vítima, acessar e-mails, arquivos em nuvem, agendas, contatos e até se movimentar lateralmente em ambientes corporativos.
Phishing com código de dispositivo: explorando recursos legítimos
Além do phishing tradicional de login e senha, ao menos um dos domínios identificados utilizou uma técnica mais sofisticada: o phishing com código de dispositivo (device code phishing). Essa abordagem explora um recurso legítimo da Microsoft, criado para simplificar o login em equipamentos com pouca capacidade de entrada de dados, como smart TVs, dispositivos de Internet das Coisas (IoT) e impressoras.
O funcionamento normal é simples: o serviço gera um código único, o usuário acessa uma página oficial da Microsoft em outro dispositivo (computador ou celular), insere o código apresentado e, a partir dessa validação, a Microsoft emite um token que autoriza o dispositivo “com entrada limitada” a se conectar à conta. Tudo isso, em um cenário legítimo, aumenta a conveniência sem comprometer a segurança.
No phishing de código de dispositivo, porém, os criminosos se aproveitam exatamente dessa experiência “mais fácil”. Em vez de o usuário gerar o código em seu próprio dispositivo, são os atacantes que o criam previamente. Em seguida, enviam esse código à vítima por canais como e‑mail malicioso, mensagens com abordagem corporativa ou até notificações enganosas, junto com o link para uma página de login legítima da Microsoft.
A vítima, acreditando estar seguindo um procedimento válido – muitas vezes sob o pretexto de “atualização obrigatória”, “nova política de segurança” ou “validação de acesso corporativo” -, entra no site oficial, insere o código recebido e faz login. Nesse momento, a Microsoft, sem diferenciar se o código foi gerado com boa ou má intenção, libera um token de acesso para o dispositivo que originalmente solicitou o código: o ambiente controlado pelos atacantes.
Resultado: os criminosos passam a ter um token válido para a conta da vítima, que pode ser usado para acessar dados confidenciais, baixar documentos, ler e enviar e-mails em nome do usuário ou preparar outros ataques internos, inclusive contra a empresa em que essa pessoa trabalha.
Quando a manipulação de DNS é combinada a essa técnica, o ataque fica ainda mais convincente. A vítima é redirecionada para uma página de phishing que exibe o código do dispositivo e, ao mesmo tempo, incorpora ou abre uma janela de login legítima da Microsoft para inserção do código. Esse “mix” de elementos falsos e verdadeiros dificulta a percepção de fraude.
Por que ambientes como hotéis e centros de conferência são tão visados
Hotéis, centros de convenções e espaços de coworking costumam concentrar executivos, consultores, profissionais de TI e usuários corporativos com acesso privilegiado a sistemas e dados valiosos. Em eventos, treinamentos e viagens de negócios, é comum que esses usuários se conectem às redes Wi‑Fi públicas para acessar e-mails, documentos do Microsoft 365, apresentações e relatórios.
Do ponto de vista dos criminosos, isso cria um cenário ideal:
– grande volume de alvos em um único ponto de acesso;
– alta probabilidade de encontrar contas corporativas de alto valor;
– usuários distraídos, sob pressão de tempo ou cansaço, menos atentos a sinais de fraude;
– infraestrutura de rede muitas vezes administrada por terceiros, com padrões de segurança desiguais e, não raro, com senhas administrativas frágeis ou reutilizadas.
Ao comprometer um único gateway, o atacante potencialmente ganha acesso a centenas ou milhares de tentativas de login do Microsoft 365 em poucos dias de evento. Isso torna esse tipo de campanha altamente rentável e atrativa.
Proteções técnicas: VPN de túnel completo e DNS criptografado
Diante dessa estratégia baseada em manipulação de DNS, duas medidas se destacam para reduzir de forma significativa o risco para o usuário final. A primeira é o uso de uma VPN de túnel completo. Nesse modo, todo o tráfego, incluindo as consultas de DNS, é encaminhado por dentro do túnulo criptografado, diretamente para os servidores da empresa ou do provedor da VPN. O gateway Wi‑Fi do hotel perde a capacidade de alterar as respostas de DNS, pois sequer “vê” essas consultas em texto aberto.
A segunda medida é a adoção de DNS criptografado em modo estrito, como DNS over HTTPS (DoH) ou DNS over TLS (DoT), sem fallback para DNS em texto simples. Isso significa que o dispositivo do usuário conversa com o servidor DNS apenas por canais criptografados e autenticados. Se o gateway tentar interferir, interceptar ou redirecionar essas consultas, a conexão falha em vez de ser automaticamente substituída por uma versão insegura. Dessa forma, o gateway comprometido não consegue forçar o usuário a visitar sites de phishing por meio de respostas DNS adulteradas.
Boas práticas para usuários em viagens e eventos
Além de VPN e DNS criptografado, há outras práticas importantes para quem depende de Wi‑Fi público e acessa contas corporativas críticas, como o Microsoft 365:
1. Priorize redes móveis
Sempre que possível, prefira usar a rede móvel (4G/5G) do seu próprio celular, seja conectando o notebook via hotspot, seja acessando os serviços diretamente pelo smartphone. Redes móveis são, em geral, menos vulneráveis a manipulação local de DNS por terceiros.
2. Desconfie de portais de login “diferentes do normal”
Se a página de login do Microsoft 365 aparecer com um endereço estranho, ainda que contenha termos como “ms365” ou “m365”, ou se for aberta a partir de um redirecionamento inesperado do Wi‑Fi do hotel, interrompa o processo e feche o navegador.
3. Não insira códigos recebidos por e-mail sem checar a origem
Recebeu um e-mail pedindo para “validar a conta Microsoft” com um código de dispositivo e um link? Confirme com a equipe de TI ou pelo canal oficial da empresa se aquilo realmente faz parte de um procedimento interno. Desconfie especialmente se o pedido for urgente ou ameaçar bloqueio imediato da conta.
4. Use autenticação multifator robusta
Sempre ative múltiplos fatores de autenticação (MFA), preferindo métodos mais resistentes, como aplicativos autenticadores ou chaves físicas de segurança, em vez de SMS. O MFA não elimina esse tipo de ataque, mas dificulta a exploração e pode reduzir o impacto em contas menos protegidas.
5. Monitore atividades incomuns na conta
Verifique periodicamente alertas de login de novos dispositivos, histórico de sessões ativas e ações suspeitas, como encaminhamento automático de e-mails, regras estranhas na caixa de entrada ou compartilhamentos de arquivos incomuns. São sinais de que alguém pode ter obtido acesso à sua conta.
Recomendações para empresas que usam Microsoft 365
Organizações que dependem intensamente do Microsoft 365 devem ir além da conscientização do usuário e adotar controles de segurança estruturais:
– Políticas obrigatórias de VPN para acesso remoto: exigir que qualquer conexão ao Microsoft 365 fora da rede corporativa passe por VPN de túnel completo.
– Configuração de acesso condicional: restringir logins por país, tipo de dispositivo, nível de risco do usuário e localização, usando soluções de identidade e acesso.
– Bloqueio e monitoramento de logins suspeitos: ativar alertas para tentativas de acesso a partir de regiões incomuns, endereços IP anômalos ou horários atípicos.
– Educação contínua sobre phishing avançado: incluir, nos treinamentos, exemplos de phishing com código de dispositivo e de páginas falsas que usam domínios muito parecidos com os originais.
– Segmentação de privilégios: aplicar o princípio do menor privilégio em contas administrativas e de usuários sensíveis, reduzindo o estrago potencial caso uma única conta seja comprometida.
A importância de revisar a infraestrutura de Wi‑Fi corporativo
Empresas que oferecem Wi‑Fi a visitantes, clientes ou funcionários – seja em escritórios, filiais, hotéis parceiros ou centros de treinamento – também precisam olhar para a própria infraestrutura, pois um gateway vulnerável pode transformar o ambiente em ponto de disseminação de ataques.
Algumas ações fundamentais incluem:
– trocar senhas padrão de todos os equipamentos de rede e evitar reutilização de credenciais;
– desativar acesso de gerenciamento a partir da internet quando não for estritamente necessário;
– aplicar atualizações de firmware e correções de segurança em roteadores, firewalls e controladores Wi‑Fi;
– segmentar redes de hóspedes da rede interna da empresa;
– registrar e monitorar logs de acesso ao painel de administração dos gateways.
Tendência: fraudes mais discretas e difíceis de perceber
Esse tipo de campanha mostra um movimento claro no cenário de ameaças: em vez de ataques barulhentos e facilmente detectáveis, os criminosos preferem explorar pontos menos óbvios da cadeia de conexão, como o DNS em redes públicas, combinando isso com técnicas de phishing cada vez mais convincentes.
Ao utilizarem recursos legítimos, como a autenticação por código de dispositivo, e misturarem páginas falsas com janelas de login reais, eles elevam a taxa de sucesso e dificultam o trabalho de defesa. Não se trata apenas de “não clicar em links estranhos”, mas de entender que até um procedimento aparentemente oficial pode ter sido iniciado por um agente malicioso.
Conclusão: segurança começa na forma como nos conectamos
Ataques direcionados a gateways Wi‑Fi, manipulação de DNS e phishing com código de dispositivo demonstram que a superfície de ataque das contas do Microsoft 365 vai muito além da senha do usuário. A forma como nos conectamos – onde, por qual rede, com quais proteções – passou a ser parte central da segurança.
Para usuários, o caminho envolve VPN, DNS criptografado, desconfiança saudável de códigos e logins inesperados e atenção redobrada ao usar Wi‑Fi público. Para empresas, a prioridade deve ser combinar medidas técnicas (VPN obrigatória, acesso condicional, monitoramento) com políticas de educação de usuários e governança de infraestrutura de rede.
Ao tratar o acesso ao Microsoft 365 como um ativo crítico e reforçar cada elo da cadeia – do gateway Wi‑Fi ao comportamento do usuário – é possível reduzir de forma significativa o risco de ter contas comprometidas em cenários aparentemente inofensivos como a rede de um hotel ou de um centro de conferências.