O MFA Furado: Como um E-mail de Folga Quase Zerou o Caixa da Empresa

Segundo o boletimsec, uma campanha de phishing recente conseguiu algo que muita gente ainda acha impossível: driblar a autenticação multifator do Microsoft 365 e comprometer a conta de um funcionário do setor financeiro de uma empresa. O golpe começou de forma simples, com um e-mail personalizado sobre uma suposta solicitação de folga negada. Parece bobo, mas foi o suficiente para abrir a porta. O link do e-mail passou por diversos redirecionamentos até chegar a uma página falsa de login, e o resto da história você já pode imaginar: os criminosos entraram, ficaram de tocaia observando conversas internas e tentaram desviar pagamentos destinados a fornecedores.

Eu sei que muita gente lê esse tipo de notícia e pensa "ah, mas eu tenho MFA, estou protegido". E é exatamente esse pensamento que precisa ser revisto com urgência. O MFA continua sendo uma camada essencial de segurança, mas ele não é uma bala de prata. Quando o assunto é engenharia social bem feita, combinada com técnicas de phishing avançado, até a autenticação multifator pode ser contornada através de ataques do tipo adversary in the middle, onde o criminoso captura não apenas a senha, mas também o token de sessão gerado após a autenticação.

Como um clique inocente vira uma dor de cabeça corporativa

O ponto que mais chama atenção nesse caso é a naturalidade do pretexto usado. Ninguém desconfia de um e-mail sobre férias ou folga, porque é assunto do dia a dia, faz parte da rotina de qualquer empresa. Os criminosos sabem disso e é justamente aí que mora o perigo: eles não estão mais mandando e-mails toscos cheios de erro de português prometendo prêmios milionários. Estão estudando o comportamento corporativo e criando iscas cirúrgicas.

Uma vez dentro da caixa de e-mail, o invasor não precisa fazer nada espalhafatoso. Ele só observa. Lê as trocas de mensagens com fornecedores, entende o fluxo de aprovação de pagamentos e, no momento certo, insere uma solicitação de alteração de dados bancários ou intercepta uma cobrança legítima, trocando a chave PIX ou os dados da conta destino. É um golpe silenc