Cibercriminosos estão explorando falhas no processo de cadastro de passkeys do Microsoft Entra para sequestrar contas corporativas e, a partir delas, acessar ambientes Microsoft 365. O método, que deveria reforçar a segurança ao substituir senhas tradicionais por chaves de acesso mais robustas, vem sendo deturpado por grupos especializados em engenharia social, entre eles o UNC066, também conhecido como Pink.
O golpe combina duas frentes: ligações telefônicas fraudulentas e páginas falsas que copiam com grande fidelidade a interface e o fluxo legítimo da Microsoft. Primeiro, os operadores entram em contato com funcionários de empresas-alvo, fingindo ser membros de equipes de suporte técnico ou de segurança de TI. Em tom urgente e convincente, alegam algum problema de acesso, uma atualização de política de segurança ou a necessidade de “modernizar” a autenticação com uma nova passkey.
Enquanto a vítima acredita estar apenas seguindo um procedimento interno de rotina, o atacante direciona o funcionário para um site malicioso que reproduz o passo a passo de configuração de passkeys. Toda a experiência é construída para parecer oficial: logos, mensagens, campos de formulário e até textos de ajuda lembram o ambiente autêntico do Microsoft Entra, o que reduz a desconfiança do usuário.
Nesse cenário, o funcionário pensa que está cadastrando uma forma mais segura de login para sua própria conta corporativa. Porém, em segundo plano, o cibercriminoso é quem está, de fato, registrando a própria passkey no perfil da vítima. Para isso, ele depende de códigos e confirmações exibidos no ambiente verdadeiro da Microsoft, aos quais o usuário tem acesso legítimo.
Ao receber esses códigos na tela ou por aplicativo de autenticação, o funcionário é induzido, pelo falso suporte, a digitá-los no site fraudulento. O criminoso então utiliza essas informações em tempo real no portal real da empresa, concluindo o processo de registro da passkey controlada por ele. Em outras palavras, a vítima entrega, sem perceber, tudo o que o atacante precisa para vincular o próprio dispositivo à conta corporativa.
Uma vez que a passkey do criminoso é adicionada com sucesso, ela passa a funcionar como um “passe livre” para a conta da vítima. Diferentemente de senhas tradicionais, esse método de autenticação permite que, em muitos cenários, o acesso seja feito sem necessidade de redigitar a senha original do usuário ou de fornecer novos códigos temporários enviados por SMS ou aplicativo de MFA. Assim, mesmo que a vítima troque a senha depois, o invasor pode continuar entrando, contanto que a passkey maliciosa não seja removida.
Com a conta comprometida, abre-se um vasto leque de possibilidades maliciosas. Dependendo das permissões e do nível de acesso do funcionário enganado, os atacantes podem ler e-mails sensíveis, baixar ou apagar documentos armazenados em nuvem, acessar aplicativos internos, manipular configurações, coletar credenciais adicionais e até movimentar-se lateralmente dentro da infraestrutura digital da organização. Em perfis com privilégios elevados, o impacto pode atingir toda a operação da empresa.
Esse tipo de campanha mostra que a adoção de tecnologias mais seguras, como passkeys e autenticação sem senha, não elimina o elo mais explorado pelos atacantes: o fator humano. Em vez de tentar quebrar criptografia ou explorar falhas técnicas sofisticadas, o grupo UNC066/Pink aposta na manipulação da confiança, constrói narrativas críveis e se apoia em processos legítimos para atingir seus objetivos.
Para as empresas, o episódio reforça a necessidade de fortalecer não apenas as camadas técnicas de proteção, mas também a cultura de segurança entre funcionários. Treinamentos recorrentes de conscientização em segurança da informação, simulações de ataques de engenharia social e campanhas internas explicando claramente como é – e como não é – o processo oficial de suporte podem reduzir bastante a taxa de sucesso dessa modalidade de golpe.
Uma medida prática essencial é estabelecer regras claras quanto ao suporte técnico: deixar explícito que a equipe de TI nunca pedirá códigos de autenticação, senhas, aprovações de MFA ou qualquer informação sensível por telefone ou mensagem. Da mesma forma, orientar que qualquer solicitação urgente envolvendo segurança ou mudança de método de acesso deve ser confirmada por canais oficiais, como o portal interno da empresa ou o contato direto com o help desk previamente conhecido.
Do ponto de vista técnico, é recomendável revisar as políticas de autenticação do Microsoft Entra e de todo o ecossistema Microsoft 365. Isso inclui monitorar eventos de registro de novos dispositivos e novas passkeys, habilitar alertas para mudanças incomuns em fatores de autenticação, aplicar o princípio de menor privilégio em contas de usuários e, quando possível, exigir aprovações adicionais para modificações críticas em credenciais.
Outra boa prática é implementar revisões periódicas das passkeys e fatores de autenticação vinculados às contas, removendo chaves obsoletas, desconhecidas ou não auditadas. Equipes de segurança podem estabelecer rotinas de checagem para perfis sensíveis, como administradores e gestores, garantindo que apenas dispositivos reconhecidos e devidamente registrados estejam autorizados.
É importante também que as empresas mantenham processos de resposta a incidentes bem definidos. Caso haja suspeita de que uma conta foi comprometida por meio desse tipo de ataque, a reação deve ser rápida: remoção imediata de passkeys suspeitas, redefinição de credenciais, verificação de acessos recentes, análise de movimentações em e-mails e arquivos, e comunicação transparente com as áreas afetadas para prevenir novos danos.
Em paralelo, vale acompanhar de perto a evolução das táticas de grupos como o UNC066/Pink. Esses operadores tendem a adaptar seus roteiros de engenharia social conforme as empresas se tornam mais maduras em segurança. Hoje usam o pretexto do cadastro de passkeys; amanhã podem explorar outras funcionalidades de segurança, atualizações ou integrações com IA para construir novas narrativas enganosas.
A onda de ataques também evidencia a importância de ferramentas de threat intelligence e de monitoramento comportamental, capazes de identificar padrões anômalos de acesso, logins em horários incomuns, tentativas de autenticação a partir de locais improváveis ou mudanças repentinas no perfil de uso de uma conta. Quanto mais contexto a equipe de segurança tiver, maior a chance de detectar cedo um comprometimento.
Por fim, a lição central é que tecnologias avançadas, como passkeys e mecanismos de autenticação moderna, são fundamentais para reduzir riscos de vazamento de senhas e ataques tradicionais de phishing. No entanto, quando o processo de ativação dessas tecnologias é sequestrado por cibercriminosos e combinado com engenharia social bem executada, pode transformar-se em uma porta de entrada silenciosa para invasões. A resposta passa por alinhar pessoas, processos e tecnologia, garantindo que cada camada da defesa – do usuário final ao administrador de sistemas – esteja preparada para reconhecer e bloquear esse novo tipo de fraude.