Phishing por Voz Encontra um Novo Ponto Fraco: Seu Celular Pessoal

Uma nova onda de ataques está mostrando por que a linha entre dispositivos pessoais e profissionais importa mais do que nunca. De acordo com reportagens sobre as descobertas de inteligência de ameaças da Microsoft, grupos rastreados como Storm-3032 e Storm-3121 estão ligando e enviando mensagens de texto para funcionários em seus celulares pessoais, se passando por funcionários internos do helpdesk de TI. Assim que um funcionário é convencido de que a ligação é legítima, os atacantes o guiam por etapas que concedem acesso a contas corporativas do Microsoft 365, frequentemente explorando configurações de bring-your-own-device (BYOD), nas quais celulares pessoais também são usados para acessar e-mail corporativo, Teams e SharePoint.

O que torna esta campanha notável não é apenas a tática de phishing por voz em si. É o que acontece após a obtenção do acesso inicial. Esses grupos supostamente funcionam como corretores de acesso inicial: eles entram em uma rede, usam a API Graph da Microsoft para mapear quais dados e sistemas estão disponíveis e, em seguida, identificam quais vítimas são valiosas o suficiente para vender ou repassar. A partir daí, o acesso é transferido para grupos de extorsão, incluindo o ShinyHunters, um nome que se tornou cada vez mais familiar em casos de roubo de dados e extorsão.

Por Que o BYOD Torna Este Ataque Tão Eficaz

Dispositivos pessoais ficam fora do perímetro de segurança que a maioria das empresas constrói em torno de hardware corporativo. Um laptop de trabalho pode ter detecção de endpoint, permissões de aplicativos restritas e configurações gerenciadas pela TI. Um celular pessoal usado para verificar e-mails ou entrar em uma chamada do Teams normalmente não tem nada disso. É também o dispositivo que os funcionários têm maior probabilidade de atender uma ligação sem pensar duas vezes, já que é o mesmo telefone que sua família e amigos usam.

Essa lacuna de confiança é exatamente o que o phishing por voz (às vezes chamado de vishing) explora. Os atacantes não precisam quebrar criptografia ou encontrar uma falha de software. Eles precisam de um funcionário que acredite que a pessoa ao telefone é genuinamente da TI e está tentando ajudar, não prejudicar. Relatos indicam que os atacantes também abusam de recursos legítimos de colaboração, como acesso externo no Microsoft Teams, para se misturar com a comunicação empresarial normal em vez de acionar alertas óbvios.

Esse padrão ecoa uma tendência mais ampla em vários setores. No ataque de ransomware à Jack Henry, os atacantes usaram de forma semelhante uma ligação telefônica em vez de um exploit técnico para obter um ponto de apoio, ressaltando que a engenharia social baseada em voz se tornou um ponto de entrada preferido justamente porque contorna as defesas técnicas tradicionais.

O Ângulo da API Graph: Transformando Acesso em Inteligência

Uma vez dentro de uma conta, os atacantes supostamente usam a API Graph da Microsoft, uma ferramenta legítima que desenvolvedores usam para interagir com dados do Microsoft 365, para mapear o ambiente de uma organização. Isso permite que eles identifiquem rapidamente quais caixas de correio, arquivos ou contas de usuário são mais valiosos, efetivamente fazendo reconhecimento usando a própria infraestrutura do alvo. Em vez de exfiltrar dados eles mesmos em todos os casos, os corretores de acesso inicial parecem repassar pontos de apoio de alto valor para grupos de extorsão como o ShinyHunters, que se especializam em monetizar acesso roubado por meio de roubo de dados e exigências de extorsão.

Essa divisão de trabalho, um grupo invadindo e outro grupo lucrando, espelha o que foi visto em outros casos recentes de violação. Na violação de dados da Napoleon Perdis, registros de clientes roubados foram vazados e reivindicados por um ator de ameaça operando independentemente de quem possa ter acessado originalmente os dados, ilustrando como acesso comprometido e vazamentos públicos de dados são frequentemente tratados por partes inteiramente separadas.

O Que Isso Significa Para Você

Se o seu empregador permite acesso BYOD ao Microsoft 365, Teams ou e-mail corporativo, você é um potencial ponto de entrada para esse tipo de ataque, independentemente do seu cargo ou departamento. O risco central não é uma falha no software da Microsoft. É a suposição de que um interlocutor que se diz "suporte de TI" é quem diz ser. Os funcionários devem desconfiar de qualquer ligação ou mensagem não solicitada pedindo que redefinam credenciais, aprovem um prompt de login ou instalem qualquer coisa, mesmo que o interlocutor pareça conhecer os sistemas internos ou use nomes reais de funcionários.

As organizações também devem revisar como os dispositivos BYOD são verificados e monitorados, já que um celular pessoal com acesso a serviços corporativos em nuvem pode se tornar um caminho direto para dados sensíveis sem nunca tocar em um laptop de propriedade da empresa.

Principais Recomendações Práticas

  • Verifique qualquer contato do helpdesk de TI por meio de um canal interno conhecido antes de tomar qualquer atitude, nunca pelo número ou método fornecido pelo interlocutor.
  • Ative a autenticação multifator que exija mais do que um simples toque de aprovação, já que a fadiga de MFA e a engenharia social frequentemente andam de mãos dadas.
  • Pergunte ao seu empregador sobre as políticas de segurança de BYOD, incluindo se dispositivos pessoais que acessam o Microsoft 365 estão sujeitos a regras de acesso condicional ou verificações de conformidade de dispositivos.
  • Relate imediatamente ligações ou mensagens suspeitas que aleguem ser da TI, mesmo que você não tenha agido sobre elas, para que as equipes de segurança possam rastrear a campanha mais ampla.

Campanhas de phishing por voz como esta têm sucesso porque visam a confiança humana em vez de vulnerabilidades de software. Manter-se cauteloso com ligações inesperadas e confirmar solicitações por canais oficiais continua sendo uma das defesas mais simples e eficazes disponíveis.