ARToken permite roubo de login do Microsoft 365 sem senha e sem quebrar 2FA
Um painel de phishing recentemente identificado, batizado de ARToken, está dando aos cibercriminosos uma forma extremamente eficiente de sequestrar sessões de login do Microsoft 365 sem necessidade de descobrir senhas ou quebrar a autenticação de dois fatores (2FA).
O diferencial do ARToken é o uso criativo – e malicioso – de um recurso legítimo da Microsoft: o fluxo de código de dispositivo OAuth, pensado originalmente para facilitar o login em equipamentos sem teclado ou navegador, como smart TVs e consoles. Em vez de tentar adivinhar credenciais, os golpistas induzem o próprio usuário a autorizar o acesso, acreditando estar realizando um procedimento normal.
Como o ARToken explora o fluxo de código de dispositivo
No ataque típico, a vítima é levada a uma página que imita uma tela de login de dispositivo da Microsoft. Nessa tela falsa, o kit exibe um código de dispositivo e orienta o usuário a digitá-lo no endereço oficial de login de dispositivos da Microsoft, em um navegador legítimo.
Para quem já ativou um app de streaming ou conectou uma TV inteligente, essa etapa parece absolutamente comum. O usuário segue o passo a passo, acessa o site real da Microsoft, informa o código, confirma o login e, muitas vezes, ainda passa pela autenticação de dois fatores sem desconfiar de nada.
Enquanto isso, em segundo plano, o ARToken captura o token de acesso emitido pela Microsoft para aquela sessão. Esse token é o que, na prática, prova para os serviços em nuvem que a identidade foi validada e que o dispositivo está autorizado. Como o processo é legítimo e ocorreu no domínio verdadeiro da Microsoft, o sistema entende que tudo está correto e não pede senha novamente ao atacante.
Assim, o criminoso obtém um token de sessão funcional, que pode ser usado para acessar a conta Microsoft 365 da vítima como se fosse ela mesma, já com toda a autenticação concluída – inclusive 2FA.
Painel com mais de 80 funções para explorar a conta invadida
O roubo do token, porém, é apenas o primeiro passo. O que torna o ARToken especialmente perigoso é o painel de controle que acompanha o kit. Pesquisadores identificaram mais de oitenta funcionalidades disponíveis para o operador do golpe, que vão muito além de simplesmente ler e-mails.
Entre as capacidades observadas estão:
– Atualização e prolongamento da validade de tokens roubados
– Listagem completa da caixa de entrada e de pastas de e-mail
– Busca por palavras-chave (como “fatura”, “pagamento”, “senha”, “contrato”)
– Acesso a arquivos armazenados no OneDrive e no SharePoint
– Download em massa de documentos sensíveis
– Possibilidade de enviar e-mails em nome da vítima para continuar a fraude
Desse modo, um único login comprometido torna-se um ponto de entrada para ataques mais profundos, como fraudes financeiras, espionagem corporativa, extorsão, roubo de propriedade intelectual e comprometimento em cadeia de parceiros e fornecedores.
Ligação com a operação EvilTokens
Durante uma investigação de resposta a incidentes, especialistas em segurança rastrearam a infraestrutura de phishing usada em um ataque e chegaram ao painel ARToken. A análise de código e de comandos de backend revelou grande semelhança com outra plataforma criminosa já documentada: o EvilTokens, uma operação de phishing como serviço especializada justamente em abuso de dispositivos OAuth.
Foram observados padrões idênticos de codificação, comandos e uso de infraestrutura compartilhada, o que indica que o ARToken é, muito provavelmente, uma evolução, ramificação ou reempacotamento do mesmo ecossistema. A diferença é que o ARToken parece ter sido criado para afiliados mais exigentes, oferecendo uma interface mais sofisticada e ferramentas mais robustas de exploração pós-comprometimento.
Investigações anteriores ligadas a essa família de ataques já haviam identificado centenas de domínios usados em serviços de hospedagem e milhares de páginas de phishing ativas, mostrando que não se trata de uma ameaça pontual, mas de uma operação em larga escala com clara motivação financeira.
Alvos preferenciais: finanças, RH e logística
Os operadores associados a esse tipo de painel costumam mirar funcionários de setores com alto acesso a dados sensíveis e a processos críticos da empresa, como financeiro, recursos humanos e logística. Esses departamentos concentram informações de pagamentos, dados pessoais, contratos, negociações e detalhes de fornecimento – materiais valiosos para golpe, extorsão e espionagem.
Para aumentar a taxa de sucesso, os atacantes têm utilizado mensagens bem trabalhadas, muitas vezes geradas ou refinadas com apoio de ferramentas de inteligência artificial, tornando o texto mais natural, coerente e adaptado ao contexto de cada vítima. Em vez de e-mails genéricos e cheios de erros, surgem mensagens convincentes, com referências reais a processos de cobrança, pedidos em andamento ou contratos vigentes.
Engenharia social baseada em relacionamentos reais
Diferentemente de golpes antigos, que inventavam empresas fictícias, o ARToken e painéis similares costumam se apoiar em relacionamentos comerciais já existentes. Em um caso analisado por pesquisadores, os criminosos falsificaram o contato do departamento de contas a pagar de uma empresa terceirizada legítima.
O e-mail mencionava uma fatura em aberto e incluía um link aparentemente legítimo para um arquivo do SharePoint. O texto visível do link correspondia ao tenant real do fornecedor, reforçando a impressão de autenticidade.
Entretanto, ao clicar, o usuário era redirecionado silenciosamente para um ambiente quase idêntico, porém controlado pelo atacante. Como o endereço ainda exibia o domínio oficial do serviço da Microsoft, o e-mail passava com facilidade pelos filtros de spam e despertava pouca desconfiança até mesmo em usuários mais cuidadosos.
É a partir desse ambiente fraudulento, porém visualmente convincente, que a vítima é levada à tal “tela de login de dispositivo” e instruída a digitar o código em um site genuíno da Microsoft, completando, sem perceber, o sequestro da sessão.
Evasão, persistência e automação
O ARToken não se limita a roubar tokens e acessar a conta uma única vez. O painel inclui mecanismos de evasão e persistência, permitindo que o atacante mantenha o controle pelo maior tempo possível. Entre os recursos mais críticos estão:
– Renovação automática ou periódica de tokens enquanto o acesso for válido
– Uso de endereços IP e provedores variados para confundir sistemas de detecção
– Capacidade de monitorar em tempo real atividades da conta comprometida
– Funções de automação para disparar novas ondas de phishing a partir da conta invadida
Isso significa que, mesmo que a vítima mude a senha posteriormente, o criminoso pode continuar acessando a conta se o token ainda for aceito e se as permissões do aplicativo malicioso não tiverem sido revogadas no painel de segurança da conta.
Por que a autenticação multifator não basta nesse cenário
Nesse tipo de ataque, a autenticação multifator é efetivamente realizada – só que pela própria vítima, em favor do atacante. Como o fluxo de código de dispositivo é legítimo, o sistema entende que o usuário está autorizando o acesso em um novo dispositivo confiável.
O elo frágil é a falta de atenção ao contexto: o usuário não percebe que está aprovando o acesso a um aplicativo ou fluxo desconhecido, iniciado a partir de um e-mail suspeito. A Microsoft valida o código, o usuário confirma, e o token é emitido dentro das regras normais de segurança.
Por isso, simplesmente “ter 2FA ativado” não é suficiente se o usuário não for capaz de reconhecer situações em que está sendo induzido a conceder acesso. A proteção passa também por educação, revisão periódica de aplicativos autorizados e monitoramento proativo de logins anômalos.
Como empresas e usuários podem se proteger
Para reduzir o risco de cair em golpes baseados em ARToken e ferramentas semelhantes, algumas práticas são essenciais:
1. Desconfiar de solicitações inesperadas de login de dispositivo
– Se você não está configurando uma TV, console, app móvel ou algo semelhante, não há motivo para receber um código de dispositivo por e-mail ou em um “portal de faturas”.
2. Conferir o contexto do pedido de autenticação
– Ao inserir um código de dispositivo em um site oficial, verifique qual aplicativo ou serviço está pedindo acesso à sua conta e se ele faz sentido no seu dia a dia.
3. Evitar clicar diretamente em links de e-mails de cobrança ou contratos
– Quando possível, acesse o portal oficial do fornecedor digitando o endereço no navegador ou usando atalhos já salvos, em vez de confiar no link do e-mail.
4. Revisar aplicativos e sessões ativas na conta Microsoft 365
– Verifique periodicamente quais aplicativos têm permissão de acesso à sua conta e revogue qualquer um que você não reconheça.
5. Implantar políticas de segurança adicionais em ambiente corporativo
– Administradores podem limitar o uso de fluxos OAuth de dispositivo a determinados contextos, exigir aprovação de TI para novos aplicativos e habilitar alertas para logins suspeitos.
6. Capacitar equipes de áreas críticas
– Times de financeiro, RH, compras e logística devem receber treinamentos específicos sobre fraudes em faturas, sequestro de e-mails corporativos (BEC) e uso malicioso de links que simulam portais de fornecedores.
Impacto para o negócio e riscos de longo prazo
Uma conta corporativa do Microsoft 365 costuma centralizar não apenas e-mails, mas também documentos internos, contratos, planilhas financeiras, dados de clientes e informações de funcionários. O acesso indevido a esse ecossistema pode gerar:
– Pagamentos fraudulentos a contas controladas por criminosos
– Vazamento de dados pessoais e sensíveis, com risco de multas regulatórias
– Perda de propriedade intelectual e segredos comerciais
– Comprometimento da cadeia de suprimentos, atingindo parceiros e fornecedores
– Danos à reputação da marca e perda de confiança de clientes
Mesmo após a remediação inicial, cópias de documentos, conversas e informações estratégicas podem permanecer em posse dos atacantes, alimentando novas fraudes ou chantagens no futuro.
Tendência: profissionalização do phishing e “phishing como serviço”
Ferramentas como ARToken representam uma evolução clara do modelo de negócios do crime digital. Em vez de cada golpista desenvolver seus próprios kits, surgem plataformas prontas, com painéis completos, atualizações frequentes e suporte a afiliados – um verdadeiro “phishing como serviço”.
Isso reduz a barreira de entrada para criminosos menos técnicos, amplia o alcance dos ataques e acelera a adoção de novas técnicas de evasão. Ao mesmo tempo, coloca pressão sobre equipes de segurança, que precisam acompanhar esse ritmo com monitoramento contínuo, automação de respostas e campanhas educativas constantes.
Conclusão
ARToken expõe um ponto cego importante na segurança em nuvem: a confiança quase automática em fluxos de autenticação considerados “seguros” por natureza. Ao abusar do código de dispositivo OAuth, o kit mostra que mesmo recursos legítimos podem ser transformados em armas poderosas quando combinados com engenharia social bem planejada.
Para mitigar essa ameaça, não basta apostar apenas em tecnologias de proteção. É necessário combinar controles técnicos (políticas de acesso, revisão de aplicativos, monitoramento de tokens) com uma forte cultura de conscientização, especialmente entre colaboradores que lidam diariamente com faturas, contratos e dados sensíveis. Somente assim será possível reduzir a eficácia de painéis como o ARToken e limitar o estrago de uma eventual conta comprometida.