Em 9 de setembro de 2026, a Microsoft, empresa de tecnologia dos Estados Unidos, publicou pela sua área de pesquisa de segurança a análise de uma campanha de engenharia social. A campanha usava passkeys, MFA e acesso único como assunto da abordagem. A empresa observa essa atividade desde maio de 2026. Depois de obter acesso a uma identidade de nuvem, o operador cadastrava um método de autenticação sob o próprio controle.
Esse cadastro muda o estado da conta. A partir dele, um desafio de MFA podia ser atendido por um fator que o dono da conta desconhecia. A redefinição de senha encerra uma credencial conhecida. O fator novo continua cadastrado, e as sessões e os tokens obtidos durante a intrusão podem continuar válidos.
O tema da abordagem e o ponto de decisão
O contato inicial chegava por ligação ou mensagem no telefone pessoal. O argumento tratava de uma atualização urgente de passkey, de MFA ou de acesso único, com risco de interrupção do trabalho. Em um número menor de casos, a Microsoft também observou mensagens enviadas pelo Teams a partir de contas já comprometidas, o que emprestava familiaridade ao pedido.
A pesquisa não descreve quebra técnica da tecnologia de passkeys. O tema servia de pretexto para conduzir a pessoa por fluxos de phishing de intermediação, a técnica conhecida como AiTM, ou de código de dispositivo. No primeiro fluxo, o operador capturava credenciais e tokens de sessão. No segundo, a própria vítima digitava um código na página legítima de autenticação da Microsoft. Essa aprovação emitia um token para um cliente controlado pelo atacante.
Para quem desenha o controle, a decisão arriscada acontece no momento da autorização, e o estado da identidade depois dela é a evidência a examinar.
O método adicional converte acesso temporário em permanência
A Microsoft observou o cadastro de um telefone novo, de um aplicativo autenticador ou de um token de uso único em software. Qualquer um desses meios responde a um desafio de MFA. Segundo a pesquisa, futuros desafios de autenticação podem ser atendidos sem a participação do usuário.
A própria empresa registra um limite útil. O método adicional, isolado, cai quando a recuperação redefine credenciais e sessões por completo. A permanência aparece quando esse método se soma a tokens roubados, a sessões sem revogação ou a um novo acesso a credenciais válidas.
A progressão descrita pela pesquisa
A atividade reunia sinais de identidade e de carga de trabalho na mesma janela. Do lado da identidade, aparecem um login fora do padrão e a inclusão de um método de autenticação. Do lado da carga de trabalho, aparecem consultas de reconhecimento pelo Microsoft Graph, acesso a arquivos no SharePoint e no OneDrive e leitura de mensagens no Exchange.
Cada um desses eventos aparece em operação normal. Uma consulta ao Graph pode vir de uma integração contratada. Um volume alto de download pode vir de uma mudança de equipe. A progressão, o volume e a proximidade entre os eventos formam a evidência que sustenta a investigação.
Leitura NowCy: o inventário de estados da identidade
Uma recuperação de conta é uma pergunta de inventário: quais estados dessa identidade ainda produzem acesso? A NowCy responde isso antes de fechar o chamado, porque cada estado remanescente pode sustentar um acesso.
A orientação publicada pela Microsoft para comprometimento confirmado responde a essa pergunta em sete movimentos. A lista abaixo segue a ordem em que a orientação os apresenta, da investigação à contenção:
- Revisar métodos e dispositivos cadastrados em datas recentes.
- Confirmar a identidade do usuário antes de remover qualquer item.
- Remover os métodos cadastrados sem autorização.
- Revogar sessões e tokens de atualização.
- Redefinir a credencial.
- Remover as regras de caixa postal criadas pelo operador.
- Exigir novo cadastro seguro dos fatores legítimos.
A própria orientação fixa um ponto da ordem: a remoção de método vem depois da validação do usuário. Remover um método antes dessa conferência pode trancar a pessoa certa fora da conta. Redefinir a credencial sem revogar a sessão pode manter de pé o acesso que já estava em execução.
A investigação acompanha esses passos. Ela correlaciona os eventos de identidade com a atividade no Graph, no armazenamento e no e-mail para medir o alcance do acesso. Ela também confere outros estados alterados durante a intrusão, como os dispositivos associados à conta.
Na recuperação, a arquitetura define de antemão onde ficam os registros, quem pode remover um método de autenticação e quem autoriza a revogação de sessões em escala.
O chamado de identidade precisa fechar como documento
O chamado de identidade fecha quando a equipe consegue anexar estas evidências:
- Os métodos e dispositivos cadastrados agora.
- As sessões e os tokens que continuaram válidos depois da contenção.
- As alterações de configuração feitas depois do login fora do padrão.
- Os dados e as aplicações que a identidade alcançou.
Com essas evidências, o encerramento vira documento. O chamado passa a dizer o que a equipe conferiu e o que ficou fora do exame, com horário e responsável em cada linha. O incidente seguinte começa com esse histórico em mãos.
Fontes e limites
A fonte descreve uma campanha acompanhada pela Microsoft. Ela não afirma que todo comprometimento de conta de nuvem siga esse percurso. Ela também não relata quebra técnica de passkeys. A pesquisa informa a data da publicação e registra a atividade observada desde maio de 2026. Ela não fixa a data de cada intrusão. Os controles citados precisam de ajuste ao ambiente, às licenças e à evidência disponível em cada organização.