Criminosos usam falsos avisos de passkey, MFA e SSO para roubar acessos corporativos.
A Microsoft informou que criminosos ligados a ShinyHunters, Helix e outros grupos de extorsão usam temas de passkey, MFA e SSO para enganar funcionários. A campanha é observada desde maio de 2026 e mira contas corporativas do Microsoft 365. O objetivo é capturar credenciais, sessões de acesso e dados armazenados nos serviços da Microsoft.
O caso trata de engenharia social contra contas corporativas do Microsoft 365. Segundo a Microsoft, grupos associados a ShinyHunters, Helix e outras quadrilhas de extorsão se passam por equipes internas de TI para convencer funcionários a realizar uma suposta atualização de passkey, autenticação multifator ou login único.
O detalhe que importa: passkey é apenas o pretexto. Pelo relato, os criminosos não estão tentando cadastrar uma credencial FIDO2 legítima nem explorando falha no padrão. Eles escolhem esse assunto porque soa técnico, moderno e urgente, o que reduz o questionamento da vítima.
A campanha é observada desde maio de 2026. Antes do contato, os atacantes levantam informações sobre a empresa e seus funcionários. Depois ligam ou enviam mensagens fingindo ser o suporte de TI, sempre com a mesma narrativa: a pessoa precisa atualizar passkey, MFA ou SSO imediatamente para não perder acesso aos sistemas corporativos.
Na sequência, a vítima é levada a uma página que imita a tela de login da Microsoft. Em alguns casos o link chega por SMS no celular pessoal do funcionário. O ataque pode usar páginas do tipo intermediário, capazes de capturar senha e cookie de sessão, ou fluxos de código de dispositivo, nos quais a própria vítima autoriza um cliente controlado pelo atacante dentro de um processo legítimo da Microsoft.
Alguns comportamentos merecem desconfiança imediata, mesmo quando a mensagem parece vir do suporte interno. A lista abaixo cobre os padrões mais comuns desse tipo de abordagem.
A defesa mais eficaz é quebrar o senso de urgência construído pelo golpista. Se alguém afirmar que você perderá acesso ao Microsoft 365 caso não atualize uma passkey, pare e confirme por um canal oficial da empresa. Não use o link recebido: abra os sistemas pelos endereços já conhecidos ou fale direto com o time interno de TI.
No lado corporativo, o treinamento precisa citar exemplos concretos, como a ligação falsa do help desk, o SMS no telefone pessoal e a página clonada de login. Também ajuda revisar no Azure AD os consentimentos de aplicativos e o uso de fluxos de código de dispositivo, limitando o que um acesso indevido conseguiria alcançar.
Pelas informações divulgadas, não. A Microsoft afirma que o tema passkey funciona como isca. O objetivo é levar a vítima a uma página falsa ou a um fluxo de autorização que entregue acesso à conta.
O foco descrito são funcionários de organizações que usam contas corporativas da Microsoft e serviços do Microsoft 365. O risco cresce quando o contato falso imita bem o suporte de TI.
Porque tira o funcionário do ambiente corporativo e facilita a pressão. Um link no telefone pessoal parece prático, mas deve ser validado antes de qualquer login.
Golpes que exploram MFA, passkeys e SSO exigem processos claros, autenticação forte e gestão cuidadosa de acessos. A MFA2GO ajuda sua empresa a reduzir riscos de acesso indevido e a orientar usuários contra abordagens falsas.
Conheca: Cofre Corporativo de MFA, Gestao de Acesso, Autenticacao Forte. mfa2go.com