GhostCode invade Microsoft 365, saiba o risco
Golpe usa um fluxo legítimo de login para obter tokens e manter acesso às contas.
Resumo rapido
O GhostCode é um kit de phishing identificado por pesquisadores da eSentire no fim de agosto de 2026. Ele mira usuários do Microsoft 365 e explora o fluxo legítimo de autorização por código de dispositivo. A vítima faz login na página da Microsoft e até conclui o MFA, mas quem recebe a autorização é um dispositivo controlado pelo invasor.
Neste artigo voce vai aprender:
- O que é o GhostCode e por que ele afeta contas Microsoft 365.
- Como códigos de dispositivo podem ser usados em golpes de phishing.
- Por que o MFA, neste caso, pode não impedir o acesso indevido.
- Quais sinais devem acender alerta para usuários e equipes de TI.
- O que revisar agora para reduzir o risco de persistência.
O que é o GhostCode
GhostCode é um kit de phishing usado para tomar contas Microsoft 365 sem precisar de uma página falsa de senha. A campanha foi identificada pela unidade de resposta a ameaças da eSentire no fim de agosto de 2026, e o que chama atenção é a matéria-prima do golpe: um recurso oficial da Microsoft.
O alvo é o OAuth 2.0 device authorization grant, criado para permitir login em aparelhos que não lidam bem com navegador, como dispositivos IoT, smart TVs e impressoras. Como toda a parte visível acontece em um domínio real da Microsoft, os indícios clássicos de phishing simplesmente não aparecem.
Como o golpe funciona
No uso legítimo, o aparelho exibe um código e o usuário digita esse código em um celular ou computador para concluir o acesso. O GhostCode se coloca no lugar desse aparelho e faz a Microsoft gerar o código para ele.
Em seguida, o atacante convence a vítima a digitar o código na página oficial de autenticação da Microsoft. A pessoa entra com a própria conta, conclui a autenticação multifator e acredita ter feito um login comum. A aprovação, porém, vale para o dispositivo do criminoso.
A partir daí, os invasores ficam com tokens de autenticação válidos. Segundo o relato, esses tokens permitem registrar dispositivos controlados pelo atacante, buscar credenciais adicionais e criar persistência no ambiente Microsoft da vítima.
Sinais de alerta
A sensação de segurança vem justamente do fato de a interação ocorrer em uma página legítima da Microsoft. Mesmo assim, alguns padrões denunciam o golpe:
- Você recebe um pedido inesperado para inserir um código de dispositivo.
- O pedido chega sem que você esteja configurando uma smart TV, impressora, dispositivo IoT ou equipamento parecido.
- Alguém insiste para que você “apenas digite o código” e conclua o MFA.
- A conta passa a exibir dispositivos registrados que você não reconhece.
- Surgem solicitações de login com aparência normal, mas que não foram iniciadas por você.
Como se proteger
A regra prática cabe em uma frase: não digite códigos de dispositivo que você não solicitou. Se o login não partiu de um equipamento seu, trate o pedido como suspeito e confirme por outro canal antes de qualquer coisa.
Nas empresas, o cuidado precisa ir além do usuário final. As equipes de TI devem incluir esse cenário no treinamento de conscientização, revisar com frequência os dispositivos registrados nas contas Microsoft 365 e investigar aprovações de MFA que coincidam com pedidos incomuns de código.
Diante de qualquer suspeita, a prioridade é remover dispositivos desconhecidos, encerrar sessões ativas, revogar tokens e verificar se credenciais adicionais foram obtidas ou já estão sendo usadas.
Checklist prático
- Oriente usuários a nunca inserir código de dispositivo quando o login não foi iniciado por eles.
- Revise dispositivos vinculados às contas Microsoft 365 e remova os que não forem reconhecidos.
- Investigue aprovações de MFA associadas a pedidos incomuns de código e valide possíveis acessos persistentes.
Perguntas frequentes
O GhostCode rouba a senha diretamente?
O foco do GhostCode é obter tokens de autenticação por meio do fluxo de código de dispositivo, e não copiar uma senha digitada em uma página falsa.
O MFA protege contra esse golpe?
O MFA ajuda em muitos cenários, mas aqui a própria vítima conclui o desafio em favor do dispositivo do atacante. Por isso, avaliar o contexto do pedido é tão importante quanto o segundo fator.
Quem usa Microsoft 365 deve se preocupar?
Sim. A campanha foi descrita contra usuários Microsoft 365 e pode resultar em registro de dispositivos controlados por atacantes e acesso persistente ao ambiente.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua empresa a identificar riscos em Microsoft 365, revisar acessos suspeitos e treinar usuários contra golpes que abusam de fluxos legítimos de login.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Compartilhe nas redes sociais:
