Neste mês um hacker afirmou ter roubado cerca de 3,6 milhões de registros de funcionários conectados a contas do Microsoft Azure em algumas das maiores empresas do mundo: McDonald’s, Vodafone, Tata, InterContinental Hotels e outras. É uma manchete assustadora, e ela esconde um detalhe que importa muito mais do que o número: o atacante nunca invadiu a Microsoft. Ele usou logins roubados.
Segundo os pesquisadores que revisaram os dados, os registros foram extraídos de tenants do Azure e do Microsoft Entra usando usuários e senhas válidos, obtidos por "password spray" e "fadiga de MFA", dois ataques que funcionam tão bem contra um escritório de doze pessoas em Austin quanto contra uma marca global. A nuvem nunca foi o ponto fraco. As contas foram. Essa é a lição inteira, e é uma que qualquer pequena empresa pode resolver ainda esta semana.
O que realmente aconteceu
Um agente de ameaça que se apresenta como "TheHatman" publicou bancos de dados que afirma ter tirado dos tenants de nuvem de grandes empresas. Os registros roubados incluiriam nomes, números de funcionário, e-mails, cargos, telefones, endereços e dados de contas de serviço: exatamente o tipo de informação de diretório que depois alimenta phishing e falsificações muito convincentes. Algumas das empresas citadas contestaram, chamando os dados de antigos e não sensíveis, e o método exato não está totalmente confirmado. Mas as empresas de inteligência que os examinaram concordam que os dados parecem reais.
O que ninguém contesta é a porta de entrada. Isto não foi uma falha do Azure. Foram contas comuns nas quais entrou alguém que não deveria tê-las: a forma mais comum de as invasões de fato acontecerem, e a que a maioria dos donos supõe que "a nuvem" já resolve por eles.
A nuvem estava bem. Os logins não.
Vale dizer com clareza, porque muda o que você deve temer: a plataforma da Microsoft cumpriu o seu papel. O Azure não foi hackeado. Os atacantes entraram com credenciais que pertenciam a funcionários reais, e para o sistema uma senha correta de uma conta válida parece exatamente a pessoa real chegando para trabalhar.
Essa é a realidade de cada ferramenta de nuvem sobre a qual a sua empresa roda: Microsoft 365, a sua contabilidade, o seu e-mail, o seu armazenamento de arquivos. O provedor protege o prédio. Você é responsável por quem tem as chaves. Quando alguém diz "migramos para a nuvem, então a segurança está resolvida", esta invasão é a correção: a nuvem mudou a fechadura, ela não decidiu quem recebe uma chave.
Password spray e fadiga de MFA, em palavras simples
Os dois ataques citados nesta invasão são simples o bastante para qualquer dono entender exatamente do que se defender.
- Password spray. Em vez de adivinhar uma conta mil vezes (o que a bloqueia), o atacante testa uma senha muito comum —pense em "Verao2026!"— em centenas ou milhares de contas de funcionários de uma vez. Em qualquer empresa de certo tamanho, alguém a está usando. Eles não quebram uma senha forte; contam com uma fraca entre muitas.
- Fadiga de MFA (também chamada de bombardeio de MFA). MFA é a autenticação de múltiplos fatores: o segundo passo, normalmente um aviso no seu celular, que deveria impedir que uma senha roubada baste sozinha. Num ataque de fadiga de MFA, o criminoso já tem a senha e simplesmente dispara aquele aviso de "Aprovar login?" de novo e de novo, às 2 da manhã, numa tarde corrida, dezenas de vezes, até que um funcionário cansado ou irritado toque em Aprovar só para aquilo parar. Esse toque entrega a conta.
Nenhum dos dois é sofisticado. Ambos são barrados por um punhado de configurações específicas, e ambos passam por cima de uma empresa que ligou o MFA anos atrás e supôs que o trabalho estava terminado.
Por que isso importa para uma empresa do seu tamanho
É tentador ler "McDonald’s e Vodafone" e concluir que isto é problema de empresa grande. É exatamente o contrário. Marcas globais têm times de segurança vigiando os logins 24 horas. Uma firma de 20 pessoas em Austin normalmente não tem, o que faz a mesma senha fraca ou a mesma aprovação às 2 da manhã ter muito mais sucesso e muito menos chance de ser notada.
E o prêmio nem sempre é dinheiro direto. Os dados de diretório —nomes, cargos, e-mails e telefones da sua equipe— são a matéria-prima do próximo ataque: um e-mail convincente para a sua contadora que parece vir de você, uma ligação para um recém-contratado que sabe o nome do chefe dele. Um único login comprometido dentro de uma pequena empresa costuma abrir a porta para todos em quem a empresa confia.
O que de fato detém isso
A boa notícia é que as defesas aqui são bem conhecidas, e nenhuma exige orçamento de empresa grande. Elas exigem que alguém as configure corretamente e continue vigiando.
- MFA resistente a phishing e correspondência de número. Troque o simples "toque para aprovar" por correspondência de número (o app obriga você a digitar um código exibido na tela) ou por uma chave de segurança física. Você não consegue aprovar por fadiga um código que precisa ler e digitar de propósito.
- Regras de acesso condicional. Bloqueie ou desafie logins que não se encaixam: um acesso de outro país, um dispositivo não gerenciado, um salto de "viagem impossível". A maioria das pequenas empresas nunca faz login fora do Texas; o sistema pode impor isso.
- Elimine senhas fracas e reutilizadas. Proíba as comuns, exija comprimento em vez de complexidade e dê à equipe um gerenciador de senhas para que "uma senha fraca em toda a empresa" deixe de ser possível.
- Vigie os logins. O password spray e os avisos repetidos de MFA deixam um rastro óbvio, mas só se alguém, ou algo, estiver de fato vendo os alertas. Esta é a peça que uma pequena empresa quase nunca tem, e a que transforma uma tentativa detectada numa invasão evitada.
Cada uma delas vive dentro das ferramentas do Microsoft 365 e do Entra que a maioria das empresas de Austin já paga. Normalmente estão só desligadas, ou deixadas no valor fraco padrão. Ligá-las corretamente é a diferença entre esta manchete ser problema de outra pessoa ou ser o seu.
Pontos-chave
- A "invasão" do Azure não foi um hack de nuvem: foram logins de funcionários roubados e reutilizados. O provedor protege a plataforma; você é responsável pelas contas.
- Password spray e fadiga de MFA vencem qualquer empresa que ligou o MFA uma vez e nunca o reforçou. Correspondência de número e acesso condicional barram os dois.
- Uma pequena empresa de Austin é um alvo mais fácil que uma marca global, não mais seguro, porque normalmente ninguém vigia os logins. Esse monitoramento é a solução.
Não sabe se seria possível entrar nas suas contas do Microsoft 365 da mesma forma? Jorge e a equipe reforçam a identidade, o MFA e o monitoramento de logins para empresas de Austin, para que uma senha roubada não seja uma empresa roubada. Conheça nossos serviços de Cibersegurança e MDR ou agende uma consulta gratuita.
