Um golpe utiliza a autenticação por código de dispositivo, um recurso originalmente desenvolvido para facilitar o acesso em aparelhos com entrada limitada de texto, para roubar dados. Segundo uma pesquisa da equipe de analistas da Trend Micro, os criminosos utilizam essa funcionalidade legítima para contornar a autenticação multifator (MFA) e driblar sistemas de proteção corporativa sem precisar capturar a senha da vítima.
O ataque começa com abordagens de engenharia social, muitas vezes iniciadas por meio de conversas amigáveis que simulam parcerias comerciais ou prestação de serviços. Os invasores enviam links que passam por verificações de segurança ao utilizar serviços confiáveis, como o Google Sites, para redirecionar o usuário para páginas falsas de verificação de documentos. Nesse estágio, a vítima recebe um código curto e é instruída a digitá-lo em uma tela de login real da Microsoft.
Como o procedimento ocorre em um ambiente genuíno e o próprio usuário conclui a verificação, a plataforma de autenticação valida a operação. No entanto, o código inserido havia sido solicitado anteriormente pelo servidor do invasor.
Os criminosos recebem os tokens de acesso diretamente em seus sistemas e registram novos aparelhos desconhecidos na rede. Os golpistas passam, então, a controlar caixas de correio eletrônico corporativas de forma silenciosa e prolongada.
