A fábrica de golpes que está dentro do seu Microsoft 365

Quando o golpe chega com o logo da empresa certa

Um funcionário do financeiro recebe um SMS: cobrança de pedágio vencida, clique para regularizar. O link abre uma página idêntica ao portal que ele usa todo dia. Ele digita o login e a senha. Em segundos, o atacante está dentro do ambiente da empresa com credencial legítima. A transferência do dia seguinte vai para a conta errada. A NF em trânsito é cancelada. O fornecedor não recebe. E ninguém sabe por onde entrou.

O que muda quando qualquer pessoa pode comprar um kit de phishing pronto?

Desde janeiro de 2026, um grupo criminoso de língua chinesa montou uma estrutura que vende kits de phishing prontos para uso por assinatura mensal, sem exigir nenhuma habilidade técnica do comprador. O ecossistema, identificado pela Microsoft como Storm-3119 e Storm-2990, disparou mais de um bilhão de mensagens fraudulentas para mais de 75 mil organizações em setores como saúde, financeiro e TI. A infraestrutura de envio usada era de contas reais de Microsoft 365 e Google comprometidas, o que tornava os e-mails difíceis de filtrar por reputação de domínio.

Impacto prático nas empresas

O modelo de phishing como serviço reduz o custo e o esforço para o atacante e aumenta o volume de tentativas contra empresas de médio porte. Os kits incluem mais de 2.300 templates que imitam marcas reais, autoridades de trânsito, serviços de saúde, plataformas financeiras e logística, adaptados por idioma e país. Quando a credencial é capturada, o atacante opera em tempo real via Telegram, interceptando aprovações de pagamento, redirecionando transferências e coletando dados de cartão. O prejuízo aparece dias ou semanas depois, quando já é difícil rastrear a origem.

Cenários reais de aplicação

No financeiro, o golpe chega como alerta de vencimento de boleto ou atualização cadastral bancária. No RH, como aviso de benefício pendente que exige reautenticação. Em operações, como notificação de entrega bloqueada que pede confirmação de endereço. No comercial, como cobrança de serviço de frete. Em todos os casos, a urgência é o gatilho e a página falsa é indistinguível da original. A empresa que não tem camadas de verificação ativas não percebe a diferença antes que o dano seja feito.

Pontos de atenção

O ecossistema ainda está ativo após a disrupção parcial anunciada em outubro de 2026. Empresas que operam sem autenticação multifator para todos os usuários, ou com permissões de administrador global distribuídas sem critério, continuam expostas. O Conditional Access sem regras de localização e dispositivo confiável também não fecha a janela: o atacante usa a credencial de dentro de uma sessão aparentemente normal. O licenciamento do Microsoft Defender for Office 365 no plano correto é pré-requisito para ativar Safe Links e proteção contra links maliciosos em e-mail.

Como a Memory pode apoiar

A Memory avalia o nível atual de exposição do ambiente Microsoft 365, ativa MFA e passkeys via Microsoft Entra ID, configura políticas de Conditional Access por perfil de usuário e localização, implementa o Microsoft Defender for Office 365 com Safe Links e revisa as permissões de administrador global. O serviço Memory Care mantém monitoramento contínuo para identificar comportamentos anômalos antes que se tornem incidente. O ponto de partida é uma conversa com o time em memorycomp.com.br/pt-BR/contato/.

Conclusão

Phishing deixou de ser um ataque de oportunidade e virou um serviço industrial disponível para qualquer comprador. A pergunta que vale fazer agora não é se a empresa vai ser alvo, mas se o ambiente está preparado para que o golpe não converta. Revisar MFA, permissões e filtros de e-mail antes do incidente custa uma fração do que custa reconstruir a confiança depois.