Device Code Flow: o presente que não para de dar, para os atacantes

Quando o acesso à empresa é roubado sem que ninguém digite uma senha

Um invasor consegue entrar no e-mail, no Teams e nos arquivos da sua empresa sem descobrir a senha de ninguém e mesmo com a segunda etapa de aprovação ligada. Como? Ele convence um funcionário a aprovar o acesso, achando que é um pedido normal da TI ou do financeiro. No instante da aprovação, a caixa de entrada e os documentos internos passam para a mão de outra pessoa. O prejuízo aparece depois, na forma de fraude em pagamentos, vazamento de dados e a conta para limpar a bagunça.

Esse tipo de golpe já é realidade e ganhou escala industrial. O ponto que assusta o gestor é simples: a camada de segurança que a maioria das empresas considera suficiente não impede o ataque.

O que mudou

O alvo do golpe é um recurso legítimo do login da Microsoft, criado para dispositivos sem teclado como smart TVs, quiosques e servidores sem tela. O mecanismo funciona assim: um aparelho pede autorização, a pessoa recebe um código curto e o digita em uma página real da Microsoft para liberar o acesso. Útil e conveniente no cenário certo.

O mecanismo funciona assim: um aparelho pede autorização, a pessoa recebe um código curto e o digita em uma página real da Microsoft para liberar o acesso. Útil e conveniente no cenário certo.

O problema é quando o papel se inverte. Em vez da sua TV, quem inicia o pedido é o atacante. Ele envia à vítima uma URL genuína da Microsoft e um código. A vítima entra na página verdadeira, aprova o login e a segunda etapa de confirmação dispara normalmente, porque tudo é legítimo do ponto de vista técnico. A diferença é que quem recebe as chaves de acesso, ao final, é o golpista.

Campanhas recentes atribuídas a um ator estatal levaram isso ao extremo, usando automação e inteligência artificial para gerar códigos novos em tempo real e criar mensagens sob medida para o cargo de cada alvo. Um pedido que parece um alerta de serviço para o time de TI; um que parece uma aprovação de fluxo para o financeiro.

Impacto prático nas empresas

A consequência direta é a perda de controle sobre quem realmente está dentro do ambiente. Com as chaves de acesso em mãos, incluindo as que renovam a sessão sem novo login, o invasor lê e-mail, conversas de Teams e documentos do SharePoint, e se movimenta de um sistema para outro sem levantar suspeita imediata.

Para o negócio, isso se traduz em três frentes de risco. A primeira é a fraude financeira: um pedido de compra ou uma ordem de transferência sai como se fosse legítimo, sem rastro claro de quem autorizou. A segunda é o vazamento de informação sensível, de contratos a dados de clientes. A terceira é a interrupção da operação, quando a resposta ao incidente exige derrubar acessos e reconstruir a confiança no ambiente.

O agravante é que a segunda etapa de aprovação, o famoso código no celular, não segura esse golpe, porque é o próprio usuário quem libera a entrada.

Cenários reais de aplicação

No financeiro, um analista recebe uma mensagem que imita um fluxo de aprovação e libera o acesso; dias depois, uma solicitação de pagamento fraudulenta trafega pela caixa de e-mail comprometida. Na TI, um administrador aprova o que parece um alerta de saúde de serviço e entrega credenciais com permissões amplas. Em operações e comercial, um gestor com acesso a propostas e negociações vira porta de entrada para espionagem de concorrência ou desvio de informação.

Em todos esses casos, o denominador comum é o mesmo: aprovação por impulso, sem que a pessoa saiba que está entregando a chave da empresa.

Pontos de atenção

Bloquear esse método de login de forma indiscriminada pode quebrar processos legítimos. Alguns fluxos de infraestrutura no Azure ainda dependem dele em situações específicas, como o registro de servidores sem tela, certas ferramentas de linha de comando e cenários de migração. Por isso, a resposta não é apenas apertar um botão; é mapear onde o recurso é realmente necessário, documentar essas exceções e migrar todo o resto para formas de autenticação mais fortes. Licenciamento e permissões também entram na conta, já que os controles de acesso condicional e os modelos de identidade de serviço têm pré-requisitos que precisam ser avaliados no seu contrato.

Como a Memory pode apoiar

A Memory faz o levantamento de onde esse login vulnerável ainda está ativo no seu ambiente Microsoft, usando os registros de entrada do Entra ID para enxergar usuários, aplicações e automações que dependem dele. A partir daí, classifica cada caso de uso, ajusta as regras de acesso condicional para bloquear o método fora dos cenários realmente justificados e migra as automações para modelos de identidade mais seguros, como identidade gerenciada e credenciais baseadas em certificado. Tudo dentro dos projetos de segurança e hardening de tenant, com a lógica de reduzir a superfície de ataque sem travar a operação.

Conclusão

A elegância de um recurso pensado para a TV da sala não é motivo para deixá-lo aberto no ambiente que guarda os dados, o dinheiro e a reputação da sua empresa. A recomendação estratégica é clara: trate esse método como exceção documentada, não como padrão, priorize formas de autenticação que a plataforma consegue controlar de ponta a ponta e ganhe visibilidade sobre quem entra e como. Fechar essa brecha custa muito menos do que remediar o incidente que ela permite.