Microsoft desmantela o serviço de phishing EvilTokens após comprometer mais de 12 000 contas

A Microsoft revelou, a 22 de setembro de 2026, que a sua operação conjunta com as forças de segurança e parceiros do sector derrubou a infraestrutura central do EvilTokens, um serviço de phishing‑as‑a‑service (PhaaS) ativo desde fevereiro do mesmo ano.

Como o EvilTokens abusou do fluxo de autenticação da Microsoft

O EvilTokens explorou o fluxo device‑code do OAuth 2.0, um mecanismo legítimo que permite aos utilizadores autenticar dispositivos sem navegador. As vítimas eram redirecionadas para uma página de início de sessão da Microsoft, introduziam um código curto e, inadvertidamente, concediam um token de acesso ao atacante sem revelar a palavra‑passe.

Como o token era emitido pelo próprio servidor de autorização da Microsoft, as deteções baseadas em palavra‑passe não conseguiam identificar a atividade. O token concedia ao atacante permissões de leitura e escrita na caixa de correio da vítima, permitindo a exfiltração em larga escala e a posterior personificação.

Reconhecimento e segmentação potenciados por IA

O EvilTokens incorporou modelos de IA personalizados que analisavam automaticamente caixas de correio comprometidas, mapeavam relações internas e identificavam artefactos de alto valor, como faturas e detalhes de transferências bancárias. A IA então gerava mensagens de spear‑phishing adaptadas para vítimas secundárias, aumentando drasticamente a taxa de sucesso dos ataques subsequentes.

O serviço era promovido no Telegram, onde os operadores anunciavam uma taxa de entrada de 1 500 USD e uma subscrição mensal de 500 USD. Módulos adicionais — como recolha massiva de credenciais e falsificação automática de faturas — eram vendidos separadamente, criando um fluxo de receita que financiava o desenvolvimento contínuo das ferramentas de IA.

• Bloquear o fluxo device‑code do OAuth quando não for necessário para cenários legítimos
• Implementar monitorização contínua da emissão de tokens e de actividades anómalas nas caixas de correio
• Adotar métodos de autenticação resistentes a phishing, como chaves de segurança FIDO2 ou passkeys
• Aplicar políticas de acesso condicional que exijam MFA para aplicações de alto risco

Ações das forças de segurança e ameaças remanescentes

As acções coordenadas de derrubada resultaram na apreensão de 50 sítios de alojamento e no encerramento de mais de 150 domínios ligados ao EvilTokens. Dois suspeitos, com 32 e 38 anos, foram detidos no Reino Unido e libertados sob fiança, aguardando investigação adicional.

A BleepingComputer esclareceu que a operação constituiu uma interrupção e não a erradicação total. Serviços clones, como o APToken, já surgiram, indicando que o modelo de negócio subjacente continua a ser atrativo para os cibercriminosos.

A resposta da Microsoft incluiu ainda a divulgação de assinaturas de deteção para plataformas de gestão de eventos e informações de segurança (SIEM), permitindo que as organizações identifiquem rapidamente tokens emitidos através do fluxo device‑code comprometido.

A empresa instou os clientes a rever as registos de aplicações OAuth, revogar quaisquer tokens desconhecidos e aplicar as medidas de reforço recomendadas para reduzir a superfície de ataque.

Para as organizações lusófonas, o impacto prático da interrupção da Microsoft é duplo: redução imediata do risco ao desativar a infraestrutura ativa do EvilTokens e mudança a longo prazo para uma autenticação mais robusta e governação mais apertada dos tokens. As entidades que adoptarem os controlos sugeridos podem esperar menos violações de phishing bem‑sucedidas, custos de resposta a incidentes mais baixos e um ecossistema de identidade mais resiliente.

Impacto nas organizações portuguesas

Em Portugal, muitas empresas utilizam o Microsoft 365 como plataforma de colaboração principal, pelo que a vulnerabilidade do fluxo device‑code representou uma preocupação significativa. A divulgação das assinaturas de deteção e as recomendações de reforço permitiram que os administradores de TI portugueses auditassem rapidamente as suas instâncias, revogassem tokens suspeitos e implementassem MFA baseada em chaves de segurança, reduzindo a probabilidade de novos comprometimentos.

Em suma, a ação da Microsoft trouxe alívio imediato ao desmantelar a infraestrutura do EvilTokens, ao mesmo tempo que sublinhou a necessidade de uma postura de segurança proativa, sobretudo nos mercados onde a dependência de serviços de nuvem Microsoft é elevada.