Em 11 de agosto de 2026, a Kaspersky alertou para um golpe que vem crescendo contra empresas brasileiras: o criminoso envia um e-mail com assunto urgente — um orçamento, um pedido de compra — e conduz o funcionário até o site oficial da Microsoft para digitar um código de validação. Não há página falsa nem senha roubada: ao digitar aquele código, o funcionário autoriza o dispositivo do atacante a entrar na conta corporativa, liberando e-mail, arquivos na nuvem e conversas do Teams. Semanas antes, a empresa de segurança Huntress rastreou uma campanha com 81 milhões de tentativas de login contra contas Microsoft em 14 dias (12 a 26 de junho de 2026), que comprometeu 78 contas em 64 organizações. O alvo preferido não é a multinacional com centro de operações próprio: é a pequena e média empresa que comprou licenças do Microsoft 365, migrou o e-mail e nunca mais revisou quem tem acesso a quê.
A identidade virou o perímetro da sua empresa
Por duas décadas, proteger a empresa era proteger a borda da rede: firewall, VPN, servidor trancado na sala. Com o Microsoft 365, esse desenho acabou. E-mail, contratos e histórico de clientes estão acessíveis de qualquer navegador do planeta, e o que separa um estranho desses dados não é mais um cabo — é uma credencial. Quando a identidade é a única fechadura, governá-la vira controle de segurança de primeira linha.
Governança de identidade é o conjunto de práticas que responde a três perguntas simples e incômodas: quem tem conta ativa na empresa, o que cada um consegue acessar e quem revisou isso pela última vez. Na maioria das PMEs, as três respostas são “não sei”.
O ataque que não precisa da sua senha
A parte mais desconfortável dos ataques de 2026 é que muitos deles não quebram nada. O golpe do código de dispositivo só convence um humano a autorizar o acesso. A campanha rastreada pela Huntress abusou do fluxo ROPC (Resource Owner Password Credentials), método antigo ainda aceito por ferramentas como o Azure CLI, que troca usuário e senha diretamente por um token — sem nunca acionar o segundo fator. Some-se a campanha identificada pela ReliaQuest desde junho de 2026, que rouba credenciais em Wi-Fi público de hotéis e centros de convenções, e o retrato fica claro: o atacante entra pela porta da frente, com a chave certa, no horário comercial.
Ter MFA ativado não é o mesmo que estar protegido
A autenticação multifator segue como a medida individual mais eficaz que existe: dados da própria Microsoft indicam que o MFA bloqueia mais de 99,2% dos ataques de comprometimento de conta. O problema é o detalhe — nas organizações invadidas na campanha das 81 milhões de tentativas, o MFA existia, só não cobria o caminho que o atacante usou.
Os erros de configuração mais recorrentes foram sempre os mesmos: MFA exigido só para contas administrativas, deixando o usuário comum (a maioria dos comprometidos) sem proteção; políticas de Acesso Condicional criadas corretamente, mas esquecidas em modo “somente relatório”, sem nunca entrar em vigor; segundo fator exigido apenas para logins de “locais não confiáveis”, enquanto os IPs dos atacantes eram classificados como nacionais; e protocolos legados ainda habilitados. É a diferença entre instalar a fechadura e girar a chave.
Os buracos mais comuns no Microsoft 365 de uma PME
Pense no prédio onde sua empresa fica. Quando um funcionário sai, ele devolve o crachá na portaria — e todo mundo dorme tranquilo. Só que o cartão do estacionamento e a senha do alarme continuam com ele. O Microsoft 365 mal governado funciona assim:
- Contas órfãs: o colaborador saiu há oito meses, a licença foi removida para economizar, mas a conta segue ativa e autenticável.
- Excesso de administradores globais: cinco, às vezes sete pessoas com poder total sobre o ambiente — incluindo o antigo fornecedor de TI.
- Privilege creep: o funcionário mudou de área duas vezes e acumulou os acessos das três funções.
- Compartilhamento aberto: pastas do SharePoint e do OneDrive com links “qualquer pessoa com o link”, criados para um problema pontual de 2023.
- Aplicativos de terceiros: integrações que leem o e-mail corporativo inteiro, autorizadas por usuários sem nenhuma aprovação.
Como proteger o Microsoft 365 da sua empresa
1. Faça o inventário real de identidades
Liste todas as contas ativas, compare com a folha de pagamento e desative o que sobrar. É exatamente o que pede o Controle 5 dos CIS Controls v8 (Gestão de Contas): inventariar contas e desabilitar as inativas. Tarefa barata e a que mais reduz superfície de ataque.
2. Exija MFA para todos — e confirme que está valendo
Aplique o segundo fator a 100% dos usuários, não só aos administradores, e verifique se as políticas de Acesso Condicional saíram do modo “somente relatório”. Prefira autenticador ou chave física ao SMS.
3. Bloqueie autenticação legada e o fluxo de código de dispositivo
Desabilite protocolos antigos e restrinja o device code flow por política: ele serve a pouquíssimos cenários e é justamente o caminho do golpe que atinge empresas brasileiras hoje.
4. Reduza o número de administradores globais
Limite a dois ou três, separe a conta administrativa da de uso diário e revise trimestralmente — é o princípio de menor privilégio do Controle 6 dos CIS Controls v8.
5. Crie uma rotina de desligamento com prazo
Defina que, em até 24 horas do desligamento, a conta é bloqueada, as sessões ativas são revogadas e os arquivos migram para um responsável. Sem prazo escrito, o processo não acontece.
Governança de identidade não é projeto, é rotina
Nenhuma das cinco ações acima exige comprar ferramenta nova: são configuração e disciplina dentro do que sua empresa já paga. O que elas exigem é alguém revisando de verdade, em intervalo definido, e registrando o que revisou — inclusive porque a LGPD cobra medidas técnicas de controle de acesso a dados pessoais, e “não sabíamos quem tinha acesso” não é defesa. Se o ataque não precisa da senha, sua proteção não pode depender só dela.
🔐 Você sabe quantas contas ativas existem hoje no Microsoft 365 da sua empresa? Fale com os especialistas da Trinity TI e faça uma revisão de identidades e acessos antes que alguém faça por você.
