Exemplo de phishing do Microsoft 365: a senha que expira hoje
Imita um aviso automático da conta de trabalho: a senha expira em poucas horas e um botão promete mantê-la. O botão abre uma cópia da tela de login que fica com o usuário, a senha e, às vezes, o código de verificação.
Olá lucia.fernandes@suaempresa.example (Sinal 2),
A senha da sua conta expira hoje às 23h59. Se você não confirmar, vai perder o acesso ao e-mail, ao Teams e ao OneDrive (Sinal 3).
Você pode manter a sua senha atual com um clique:
Equipe de Segurança de Contas. Para deixar de receber estes avisos, atualize suas preferências.
Cinco sinais que denunciam o aviso falso
Um remetente que não é nem a sua empresa nem a Microsoft
Os avisos de expiração são configurados pela sua TI e saem de domínios conhecidos. “m365-suporte-contas” é um domínio montado para parecer oficial.
A saudação é o seu endereço de e-mail
Um sistema que administra a sua conta sabe o seu nome. Um envio em massa só tem o endereço e o usa como saudação.
Perder tudo hoje
E-mail, Teams e OneDrive na mesma ameaça, com prazo. A urgência é o que faz você não olhar o link.
“Manter a mesma senha”
Nenhuma política de segurança deixa você pular uma troca com um clique. Se a sua senha expira de verdade, ela se troca pelo portal de sempre.
O domínio real está no final
O link começa com “login.microsoftonline.com”, mas o domínio que vale é o que fica logo antes da primeira barra: “verificar-conta.example”. Tudo o que vem antes é um subdomínio que qualquer um pode criar.
O que fazer se chegar até você
- Não clique no botão. Se quiser conferir a sua conta, digite você mesmo o endereço do portal que usa sempre.
- Reporte com o botão de reporte do e-mail ou encaminhe à segurança como anexo.
- Se a sua empresa manda avisos reais de expiração, compare com este: remetente, tom e destino do link.
- Avise a sua equipe: esses envios costumam chegar a muitas pessoas da empresa ao mesmo tempo.
Se você já digitou a senha
- Troque-a pelo portal de sempre e avise a TI para encerrar as sessões abertas.
- Se digitou um código de verificação ou aprovou uma notificação, conte: com isso alguém pode ter entrado mesmo com MFA na conta.
- Peça à TI que verifique se apareceram na sua caixa regras de encaminhamento ou exclusão que você não criou.
A mesma armadilha em outros canais
Pelo Teams
Um usuário externo chamado “Suporte TI” escreve no chat e compartilha um link “para revalidar a conta”. O Teams marca como externos os remetentes de fora da organização: essa etiqueta é o sinal.
Por SMS
Uma mensagem curta avisa que a sua conta de trabalho será bloqueada e traz um link encurtado. No celular é mais difícil ver para onde o link leva do que no computador.
Com um QR Code
O e-mail não traz link: traz um QR Code “para reativar a autenticação”. O filtro de e-mail não o lê como link e a câmera do celular abre o destino.
Perguntas sobre o phishing do Microsoft 365
Outros golpes para reconhecer
Quantas pessoas da sua empresa clicariam em “Manter senha atual”?
A Whalemate simula phishing por e-mail de forma nativa, incluindo avisos de conta como este. Quem digita a senha recebe na hora um treinamento sobre o sinal que não viu, e quem reporta o e-mail também é medido, porque reportar é o hábito que se busca.