A maioria das PMEs subestima o risco de um simples telefonema. Os ataques vishing Microsoft 365 estão a aumentar, e um colaborador desprevenido pode entregar as chaves do escritório digital em minutos. Uma nova campanha de vishing, descoberta recentemente, usa o pretexto da configuração de passkeys para roubar o acesso a contas empresariais. E o pior: o ataque é tão credível que até utilizadores experientes caem.
Segundo a Bleeping Computer, um agente de ameaça tem visado organizações de vários sectores com chamadas telefónicas fraudulentas. O objectivo é convencer os utilizadores do Microsoft 365 a registar uma nova passkey no Entra, o sistema de autenticação da Microsoft. Na prática, o atacante ganha acesso permanente à conta, sem precisar de palavra-passe.
O que é o vishing de passkeys e como funciona
O termo “vishing” junta “voice” (voz) e “phishing”. Em vez de um email falso, o atacante telefona directamente ao colaborador, fingindo ser do suporte técnico da empresa ou da própria Microsoft. A conversa é bem ensaiada: o falso técnico alega que é necessário actualizar a segurança da conta e pede ao utilizador que siga um link enviado por SMS ou email. Esse link leva a uma página legítima da Microsoft, onde o colaborador é instruído a registar uma nova passkey.
Uma passkey é um método de autenticação sem palavra-passe, baseado em biometria ou num dispositivo físico. Quando o utilizador a regista, está a criar uma chave de acesso que pode ser usada em qualquer dispositivo associado. O problema é que, ao seguir as instruções do atacante, o colaborador está a registar uma passkey controlada pelo criminoso. A partir desse momento, o atacante consegue iniciar sessão na conta Microsoft 365 sempre que quiser, sem levantar suspeitas.
Este tipo de ataques vishing Microsoft 365 é particularmente perigoso porque explora a confiança humana e a própria infra-estrutura de segurança da Microsoft. O utilizador vê um ecrã oficial, recebe um código legítimo e pensa que está a proteger a sua conta. Na realidade, está a entregá-la de bandeja.
O que diferencia este ataque de outros esquemas
Até agora, a maioria dos ataques de phishing contra o Microsoft 365 baseava-se em emails fraudulentos que imitavam páginas de login. O colaborador recebia uma mensagem com um link para um site falso e, se introduzisse as credenciais, o atacante capturava-as. Esse método ainda funciona, mas as empresas começaram a adoptar a autenticação multifactor (MFA) e as passkeys para eliminar a dependência de palavras-passe.
O vishing de passkeys contorna precisamente essa protecção. Como o atacante convence o utilizador a registar uma passkey legítima, o sistema da Microsoft não detecta qualquer anomalia. Não há palavra-passe roubada, não há tentativa de login suspeita. O acesso é concedido de forma limpa, através de um processo que a própria Microsoft considera seguro.
Além disso, o ataque é direccionado. O criminoso pesquisa previamente a empresa, identifica nomes de colaboradores e até pode mencionar projectos internos para ganhar credibilidade. Esta personalização torna a chamada muito mais convincente do que um email genérico.
O que isto significa para PMEs portuguesas
As pequenas e médias empresas portuguesas são um alvo apetecível para este tipo de ataques vishing Microsoft 365. Muitas não têm equipas de segurança dedicadas, e os colaboradores raramente recebem formação sobre engenharia social. Um único telefonema bem-sucedido pode dar ao atacante acesso a emails, ficheiros no SharePoint, conversas no Teams e até a dados de clientes.
O custo de uma violação destas pode ser devastador: desde a perda de informação confidencial até à interrupção da operação durante dias. Para uma PME com 10 ou 20 colaboradores, um ataque de ransomware que comece com este acesso pode significar prejuízos na ordem dos milhares de euros. Sem falar nas implicações legais ao abrigo do RGPD, se dados pessoais forem expostos. Uma consultoria estratégica pode ajudar a definir políticas de segurança adaptadas à realidade da sua empresa, mas o primeiro passo é a consciencialização.
Como explicamos no nosso guia de cibersegurança para negócios digitais, a protecção começa nas pessoas. Não basta ter firewalls e antivírus; é preciso que cada colaborador saiba identificar uma tentativa de manipulação.
O erro que a maioria comete
O erro mais comum é assumir que a tecnologia resolve tudo. Muitas PMEs implementam autenticação multifactor e passkeys e acreditam que estão protegidas contra acessos indevidos. Mas o vishing de passkeys mostra que a engenharia social pode contornar qualquer barreira técnica. A segurança não é um produto que se compra; é um comportamento que se treina. Enquanto as empresas não investirem em formação regular e simulações de ataque, estarão sempre vulneráveis a este tipo de esquema.
Riscos e limitações
Este ataque é eficaz porque explora a legitimidade do processo de registo de passkeys da Microsoft. No entanto, não é indetectável. Exige que o atacante tenha já alguma informação sobre a vítima (como o número de telemóvel e o nome do colaborador) e que a chamada ocorra num momento em que o utilizador esteja disponível. Além disso, se a empresa tiver políticas claras que proíbam a configuração de novos métodos de autenticação sem verificação presencial ou através de um canal interno seguro, o ataque falha. A limitação está, portanto, na ausência de processos internos robustos. Para empresas que já adoptaram uma cultura de “verificar antes de confiar”, o risco é significativamente menor.
Veredito Descomplicar®
Os ataques vishing Microsoft 365 são uma ameaça real e em crescimento, mas não são imparáveis. A defesa mais eficaz é uma combinação de formação contínua dos colaboradores e processos de verificação interna. Se a sua PME ainda não tem um protocolo para validar pedidos de suporte técnico por telefone, este é o momento de o criar. Vale a pena explorar soluções de consciencialização e simular este tipo de chamadas para testar a prontidão da equipa. A tecnologia ajuda, mas a verdadeira segurança está nas pessoas.