O segundo fator funcionou. O invasor entrou junto.

Existe uma ideia confortável, repetida em treinamento de conscientização há uma década, de que ativar o segundo fator resolve o phishing. O Mirage2FA é a demonstração comercial de que não resolve. E não é um zero-day nem uma técnica nova: é um produto, com painel, marca e clientes.

A mecânica é a de um proxy reverso. A vítima recebe um anexo, abre no navegador e chega a uma página de login do Microsoft 365 que parece a verdadeira porque é a verdadeira, servida através do atacante. Ela digita usuário, senha e o código de seis dígitos. O kit repassa cada campo à Microsoft por um canal WebSocket, em tempo real. A autenticação acontece de fato, o segundo fator é validado de fato, e o cookie de sessão autenticado que a Microsoft devolve fica com o operador.

Daí em diante o atacante não precisa mais de senha nem de MFA. Ele reaproveita a sessão. Lê e-mail, acessa arquivo, se passa pelo usuário em conversa com fornecedor e cliente. Do ponto de vista do log, é o dono da conta trabalhando.

O anexo que não é malware

Nenhum binário malicioso apareceu no conjunto analisado. A entrega é feita por arquivos que o navegador executa: .htm, .xhtml e .svg, além de links e iscas com QR code. Parte da distribuição saiu por Amazon SES, serviço legítimo de envio em massa.

Cada anexo carrega um token específico do destinatário, com marcadores como LINXB64EMAIL ou LINXEMAIL, e busca a lógica de coleta em um carregador remoto no padrão /xls/<token>.js. As variantes obfuscadas usam decodificador hexadecimal, XOR com chave 0xAD sobre Base64 seguido de eval, e empacotadores no estilo obfuscator.io. O SVG abusa do elemento <script> permitido em documento SVG isolado para redirecionar direto ao destino.

Do total de amostras, 629 eram .htm, 198 XHTML e 187 SVG. A campanha usa consistentemente a extensão .htm, não .html. Detalhe pequeno, útil para caça.

Os números do levantamento

Indicador	Valor
Domínios corporativos atingidos	3.518 distintos
Endereços alvo / potencialmente comprometidos	9.426 / 4.532 (cerca de 48%)
Eventos de comprometimento registrados	9.332 no total
Roubo de cookie de sessão	4.561 eventos, 2.541 vítimas únicas
Senha ou segundo fator capturados	3.044 eventos, 1.589 vítimas únicas
Login via SSO	1.339 eventos, 616 vítimas únicas
Concentração geográfica	63,7% nos EUA; atividade em 94 países
Logins bem-sucedidos em dispositivo móvel	33,3%
Setores mais atingidos	Tecnologia (19,2%), indústria (11,1%), educação (9,9%), consultoria (8,3%)

Os próprios pesquisadores classificam esses números como estimativas de impacto potencial a partir do conjunto disponível, não como comprometimentos confirmados um a um. A ordem de grandeza, ainda assim, é difícil de descartar.

Um terço vem do celular

Chama atenção que 33,3% dos logins bem-sucedidos tenham vindo de dispositivo móvel. A explicação é banal e por isso mesmo eficaz: no celular a barra de endereço é curta, some ao rolar a página e mostra pouco do domínio. Todo o treinamento que ensina o funcionário a "conferir a URL antes de digitar a senha" foi desenhado para uma tela de desktop.

Leitura LATAMSEC

A concentração americana nos dados não deveria tranquilizar ninguém por aqui. Há atividade registrada em 94 países, e a base instalada de Microsoft 365 em empresa brasileira de médio e grande porte é exatamente o perfil que o kit foi feito para atacar. Tecnologia, indústria e educação lideram a lista de setores, o que descreve bem boa parte do parque corporativo da região.

O impacto operacional mais imediato está na resposta a incidente. Quando a credencial vaza, a reação treinada é trocar a senha. Quando o que vaza é a sessão, trocar a senha não faz absolutamente nada: o cookie continua válido até expirar ou ser revogado explicitamente. Muita empresa vai descobrir isso no meio de um incidente, e não antes.

Três movimentos que valem mais que uma campanha de conscientização. O primeiro é migrar para MFA resistente a phishing, com passkeys ou FIDO2, em que o segundo fator é vinculado à origem e simplesmente não funciona em um domínio intermediário. É o único controle que quebra o AiTM na raiz.

O segundo é acesso condicional que amarre a sessão ao dispositivo e ao contexto, de forma que um cookie reaproveitado a partir de outra máquina e outro endereço não seja aceito em silêncio. O terceiro é procedimento escrito de revogação de sessão, testado, com tempo de execução medido. Se o time precisa descobrir na hora onde fica esse botão, o atacante já teve o dia inteiro.

Do lado da detecção, há sinais que continuam úteis mesmo com a infraestrutura mudando: a estrutura de carregador /xls/*.js, os marcadores LINX* e anexo .htm ou .svg chegando por e-mail externo. Vale também revisar por que arquivo SVG recebido de fora continua sendo entregue à caixa do usuário sem inspeção. Praticamente ninguém troca logotipo por e-mail com fornecedor. Praticamente todo gateway ainda deixa passar.