Campanha massiva de phishing se passa por SharePoint e DocuSign para roubar credenciais corporativas

Uma operação generalizada e altamente enganosa de phishing está visando organizações em todo o mundo, se passando por notificações legítimas do Microsoft SharePoint e do DocuSign para roubar credenciais de login de funcionários. Analistas de segurança que rastreiam a campanha relatam que os agentes da ameaça enviaram mais de 40 mil e-mails de phishing em ondas recentes, aproveitando iscas de engenharia social sofisticadas que exploram a confiança nessas plataformas de negócios onipresentes.

A mecânica da campanha é notavelmente eficaz. Os atacantes criam e-mails que imitam alertas automáticos padrão do SharePoint sobre um "documento compartilhado" ou do DocuSign sobre um "documento aguardando sua assinatura". As mensagens criam uma sensação de urgência, levando o destinatário a clicar em um link para visualizar ou assinar o suposto documento. O corpo do e-mail e o nome do remetente são cuidadosamente projetados para parecerem autênticos, muitas vezes falsificando contatos conhecidos ou nomes de serviço genéricos como "Time do SharePoint" ou "Notificações do DocuSign".

A nuance técnica crítica que eleva a ameaça é o uso de links maliciosos hospedados em domínios comprometidos. Em vez de usar URLs óbvias e suspeitas, os atacantes aproveitam subdomínios ou caminhos em domínios que foram previamente sequestrados ou registrados para parecerem legítimos. Esses domínios podem usar pequenos erros de digitação (typosquatting) ou incorporar nomes de marcas confiáveis em sua estrutura (por exemplo, sharepoint-seguranca[.]com ou docusign-verificacao[.]net). Essa técnica permite que os links de phishing contornem filtros básicos de segurança de e-mail que bloqueiam domínios maliciosos conhecidos, mas podem colocar na lista branca ou examinar menos os domínios com palavras-chave familiares.

Ao clicar no link, a vítima é redirecionada para uma página de login fraudulenta que é uma réplica quase perfeita do portal oficial de login do Microsoft 365 ou DocuSign. A URL na barra de endereços normalmente mostrará o domínio enganoso. Quaisquer credenciais inseridas nessa página são coletadas em tempo real pelos atacantes e transmitidas para seus servidores de comando e controle.

O impacto de tal roubo de credenciais é grave e multifacetado. Credenciais corporativas comprometidas fornecem aos atacantes uma posição direta dentro da rede da organização. Esse acesso pode ser usado para:

• Exfiltração de dados: Procurar e roubar propriedade intelectual, registros financeiros ou dados pessoais sensíveis de funcionários e clientes.
• Fraude financeira: Iniciar transferências bancárias não autorizadas, alterar detalhes de pagamento de fornecedores ou cometer outras formas de fraude financeira sob o disfarce de um funcionário legítimo.
• Movimentação lateral: Usar a conta roubada para enviar e-mails de phishing mais convincentes para outros funcionários (uma técnica conhecida como phishing interno ou lateral) e se mover lateralmente pela rede para acessar sistemas mais críticos.
• Persistência: Estabelecer backdoors ou criar novas contas administrativas para manter o acesso de longo prazo, mesmo que a senha inicial comprometida seja redefinida.

Esta campanha se enquadra claramente na categoria de alto risco de Comprometimento de E-mail Corporativo (BEC) e phishing de credenciais. Seu sucesso depende da tempestade perfeita de marcas confiáveis, pretextos plausíveis e ofuscação técnica.

Recomendações para defesa:
As organizações devem adotar uma estratégia de defesa em profundidade para combater essa ameaça:

1. Segurança avançada de e-mail: Implantar soluções que usam IA e aprendizado de máquina para analisar o conteúdo do e-mail, a reputação do remetente e o comportamento do link além das simples listas de bloqueio de domínio. A análise de URLs em sandbox pode detectar redirecionamentos maliciosos.
2. Autenticação Multifator (MFA): A aplicação do MFA, particularmente usando métodos resistentes ao phishing, como chaves de segurança FIDO2 ou autenticação baseada em certificado, é o controle mais eficaz para neutralizar credenciais roubadas.
3. Conscientização e simulação para usuários: Realizar treinamento contínuo de conscientização em segurança que inclua exemplos de phishing sofisticado, como impersonação de marca. Exercícios regulares de phishing simulado ajudam a manter os funcionários vigilantes.
4. Monitoramento de domínios: Monitorar proativamente o registro de domínios que pratiquem typosquatting ou incorporem as marcas registradas e nomes de marca de sua organização.
5. Princípios de Confiança Zero: Implementar segmentação de rede e controles de acesso rigorosos para limitar os danos se as credenciais forem comprometidas, seguindo um modelo de "nunca confie, sempre verifique".

A evolução desta campanha ressalta uma tendência persistente: cibercriminosos estão investindo recursos significativos para tornar suas operações de phishing mais direcionadas, críveis e tecnicamente evasivas. Para a comunidade de cibersegurança, serve como um lembrete contundente de que o elemento humano, combinado com a evolução do engano técnico, continua sendo um dos vetores de ataque mais desafiadores de se defender.