Entre 14 e 16 de abril de 2026, uma única campanha de phishing atingiu mais de 35 mil usuários em cerca de 13 mil organizações de 26 países, segundo análise publicada pela Microsoft. O e-mail não pedia senha: fingia ser um comunicado interno de conduta, com um PDF anexo. Quem clicava caía numa página de login idêntica à verdadeira e digitava usuário, senha e o código da autenticação multifator normalmente. O ataque funcionou apesar da MFA estar ativa. No Brasil, o cenário é ainda mais desconfortável: um levantamento da Vision Cybersecurity apontou crescimento de 59% no volume de credenciais corporativas comprometidas entre janeiro e maio de 2026, com o país figurando como o segundo mais afetado do mundo por infostealers. A pequena e média empresa é alvo preferencial porque usa os mesmos serviços em nuvem das grandes — Microsoft 365, banco, ERP — e raramente tem quem monitore quem entrou, de onde e quando.
O crime parou de quebrar senha — agora ele rouba a sessão
Durante anos, a orientação foi usar senha longa e ligar o segundo fator. Continua valendo, mas deixou de ser suficiente. A técnica dominante hoje se chama AiTM (adversary-in-the-middle, ou adversário no meio): o criminoso coloca um servidor proxy invisível entre o funcionário e o site legítimo. Tudo o que a vítima digita passa por ele e segue para o destino real. A autenticação acontece de verdade, o segundo fator é aprovado de verdade — e o que o atacante captura não é a senha, é o cookie de sessão emitido depois do login bem-sucedido. A Microsoft registrou aumento de 146% nesse tipo de ataque, hoje vendido como serviço pronto em plataformas de phishing como serviço.
Pense num evento com portaria rígida: os seguranças conferem documento e convite, e só então entregam a pulseira. A MFA é essa portaria; o cookie de sessão é a pulseira. Quem arranca a pulseira do seu pulso não precisa enfrentar a portaria de novo — entra direto, até ela vencer. É o que acontece quando o token é roubado: o invasor acessa o e-mail corporativo sem senha, sem código e sem gerar alerta de “login suspeito”.
Os três caminhos que levam até a sua credencial
- Phishing AiTM: página clonada em tempo real que intercepta login, código e cookie de sessão. Derrota SMS, aplicativo autenticador e notificação push.
- Infostealer: malware silencioso que chega por instalador pirata, extensão de navegador ou anexo. Varre o computador e envia senhas salvas, cookies de sessão e tokens ao operador, que revende o acesso em fóruns.
- Reaproveitamento de senha: a senha do sistema corporativo repetida num site pessoal que vazou. O atacante testa as combinações conhecidas em massa até uma abrir.
O dado que incomoda: a MFA sozinha já não segura
O Panorama do Risco Cibernético 2026, da Vultus, avaliou 132 organizações em 11 setores por meio de simulações de ataque real. Resultado: falhas de software (45,2%) e abuso de credenciais (26,2%) responderam por 71,4% de todos os acessos obtidos pelos times ofensivos — e, dentro do abuso de credenciais, o padrão predominante foi o uso de credenciais vazadas (68,7%). Do lado internacional, a Obsidian Security relatou que a MFA não impediu o ataque em 84% das respostas a incidentes que conduziu. A leitura correta não é “desligue a MFA”. É: nem toda MFA é igual, e a que a sua empresa provavelmente usa é justamente a que esses ataques já aprenderam a contornar.
Como proteger a sua empresa
1. Migre para MFA resistente a phishing
Adote FIDO2/WebAuthn — chaves de segurança físicas ou passkeys — ao menos para administradores, diretoria e financeiro. O motivo é técnico e definitivo: o padrão amarra a credencial ao domínio de origem do site verdadeiro. Numa página clonada, a assinatura simplesmente não é gerada, e o ataque morre antes de começar. É o critério que a CISA usa para classificar um método como resistente a phishing.
2. Trate a sessão como ativo, não a senha
Configure políticas de acesso condicional que reavaliem o contexto durante a sessão: país de origem, dispositivo conhecido, conformidade do equipamento. Um cookie roubado, usado de outro país e num dispositivo desconhecido, deve ser barrado mesmo sendo “válido”. Reduza também o tempo de vida das sessões privilegiadas.
3. Elimine a senha reaproveitada de verdade
Implante um cofre de senhas corporativo com senhas únicas geradas por máquina e monitore vazamentos com os domínios da empresa. Senha decorada vira senha repetida: a saída realista é não depender da memória de ninguém.
4. Cuide do endpoint, porque é dele que o infostealer rouba
Solução de EDR ativa, bloqueio de instalação de software não autorizado e controle de extensões de navegador. Senha salva no navegador de um computador sem proteção é senha entregue.
5. Revogue tokens no incidente — não só a senha
Este é o erro mais comum. Ao suspeitar de comprometimento, trocar a senha não expulsa quem já está dentro: o token de atualização continua válido. O procedimento correto é revogar todas as sessões e tokens da identidade, checar regras de encaminhamento de e-mail criadas pelo invasor e revisar aplicativos autorizados.
6. Monitore identidade 24/7
Login fora do horário, de país improvável ou em “viagem impossível” só vira alerta se alguém estiver olhando. Sem monitoramento contínuo, a permanência do invasor no ambiente costuma ser medida em semanas.
Identidade virou o perímetro
O firewall continua importante, mas o ataque de 2026 não arromba a porta: ele entra usando o crachá de um funcionário. Quando 71,4% dos acessos partem de falha de software e abuso de credencial, e o Brasil ocupa o segundo lugar mundial em roubo de credenciais, tratar autenticação como assunto resolvido é assumir um risco que não cabe no orçamento de uma PME. A boa notícia: as contramedidas são conhecidas, baratas perto do prejuízo e implantáveis em semanas — desde que alguém assuma a responsabilidade de fazer.
🔐 Você saberia dizer, agora, quantas sessões ativas existem no Microsoft 365 da sua empresa e de onde elas vêm? Fale com os especialistas da Trinity TI e faça uma avaliação de segurança de identidade no seu ambiente.
