GhostCode no Microsoft Entra: revise acessos
Golpe usa código de dispositivo para continuar acessando contas mesmo após revogação de tokens.
Resumo rapido
GhostCode é um kit de phishing que abusa do fluxo de código de dispositivo do Microsoft Entra. Segundo a eSentire, a campanha combina engenharia social por email comercial, anexos HTML protegidos por senha e páginas falsas de portal de documentos. O risco central é a persistência: o acesso sobrevive à revogação dos tokens roubados.
Neste artigo voce vai aprender:
- O que torna o GhostCode diferente de uma página falsa comum.
- Como o golpe começa em formulários comerciais legítimos.
- Quais sinais indicam tentativa de phishing com Microsoft Entra.
- O que revisar após uma suspeita de login por código de dispositivo.
- Um checklist simples para reduzir o risco agora.
O que é o GhostCode
GhostCode é o nome dado a um kit de phishing identificado pela Threat Response Unit da eSentire em campanha observada no fim de agosto de 2026. Nada de página falsa pedindo usuário e senha na abertura: o ataque investe em conversas comerciais de aparência rotineira para conquistar confiança. O alvo final é fazer a vítima aprovar um login por código de dispositivo no Microsoft Entra, entregando ao invasor um acesso que ele controla.
O detalhe que muda o jogo é a durabilidade desse acesso. Quando o dispositivo é inscrito no diretório, revogar os tokens roubados pode não encerrar o incidente, porque o registro do dispositivo e a sessão associada continuam servindo de porta de entrada até serem removidos de forma explícita no Azure AD.
Como o golpe funciona
A campanha começou com mensagens em tom corporativo impecável. Os operadores se passaram por equipes de compras de empresas legítimas, incluindo referência à BJ's Wholesale Club, e enviaram perguntas simples por formulários de contato do Salesforce. Quando o time comercial respondia, os criminosos introduziam uma etapa de assinatura de NDA e mandavam, via WeTransfer, um arquivo HTML protegido por senha.
Esse anexo se apresentava como um portal de compartilhamento no estilo FlipBook. Para atrasar a análise, o arquivo era inflado com conteúdo inútil e comentários embutidos no HTML, liberando o endereço final só depois que a senha era digitada. O redirecionamento ainda atravessava filtros antibot, Cloudflare Turnstile, checagens de localização e análise do navegador usado pela vítima.
A infraestrutura mostra planejamento de médio prazo. O domínio bjssourcing[.]com apareceu ligado a mais de 30 domínios parecidos, todos registrados recentemente e habilitados para email, porém sem nenhum site ativo no ar.
Sinais de alerta
Alguns indícios aparecem antes de o contato virar incidente. Vale circular esta lista com quem atende cliente e fornecedor todos os dias:
- Pedido comercial inesperado que evolui rapidamente para assinatura de NDA.
- Arquivo HTML enviado por serviço externo, como WeTransfer, especialmente com senha.
- Domínio parecido com o de uma empresa real, mas sem site funcional.
- Solicitação para inserir código de dispositivo ou aprovar acesso no Microsoft Entra sem contexto claro.
- Portal de documento muito polido, mas hospedado em subdomínio estranho ou desconhecido.
Como se proteger
Login por código de dispositivo merece o mesmo rigor aplicado a senhas e aprovações de MFA. Diante de qualquer suspeita, revogar tokens é só o primeiro passo: é preciso conferir dispositivos registrados, sessões ativas e aplicativos autorizados no Microsoft Entra, além dos consentimentos concedidos a aplicações do Microsoft 365.
- Oriente times de vendas e compras a confirmar NDAs por canal independente.
- Bloqueie ou coloque em quarentena anexos HTML protegidos por senha quando possível.
- Revise cadastros de dispositivos após qualquer aprovação suspeita.
- Investigue domínios recém-criados que imitam fornecedores, distribuidores ou clientes.
- Registre e acompanhe tentativas de uso de código de dispositivo em contas corporativas.
Checklist prático
- Mapeie contas que receberam anexos HTML com senha ou links de WeTransfer em negociações recentes.
- Revise no Microsoft Entra dispositivos cadastrados, sessões e acessos concedidos após esses contatos.
- Treine equipes para recusar aprovações de código de dispositivo quando o pedido vier de email, anexo ou portal desconhecido.
Perguntas frequentes
O GhostCode rouba apenas senha?
Não. O diferencial descrito é o abuso do fluxo de código de dispositivo do Microsoft Entra, capaz de transformar uma aprovação de MFA em acesso persistente para o atacante.
Revogar tokens resolve o problema?
Ajuda, mas raramente basta. Também é necessário revisar dispositivos inscritos, sessões e permissões ligadas à conta afetada no Azure AD.
Quem deve ficar mais atento?
Times de vendas, compras e atendimento comercial, já que a campanha nasce em contatos aparentemente legítimos por formulários e conversas de negócios.
Proteja sua empresa com a MFA2GO
A MFA2GO ajuda sua empresa a organizar autenticação forte, revisar acessos e reduzir riscos de aprovações indevidas em ambientes corporativos.
Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com
Fontes:
https://gbhackers.com/ghostcode-abuses-microsoft-entra/
Compartilhe nas redes sociais:
