Uma nova plataforma de phishing como serviço (Phishing-as-a-Service – PhaaS), batizada de Forg365, está chamando a atenção de especialistas em cibersegurança por utilizar inteligência artificial para facilitar ataques contra usuários do Microsoft 365. A ferramenta combina técnicas avançadas de phishing com mecanismos que permitem aos criminosos manter acesso contínuo às contas invadidas, mesmo após a autenticação inicial.
A descoberta foi feita por pesquisadores da empresa de segurança de e-mail ZeroBEC, que identificaram campanhas de phishing disfarçadas de documentos corporativos. Os golpes utilizam serviços legítimos de envio de e-mails, como Amazon SES e SendGrid, tornando as mensagens mais difíceis de serem identificadas como fraudulentas.
Como funciona o Forg365
A plataforma reúne diversos recursos voltados para a criação e gestão de campanhas maliciosas. Entre eles estão:
- Phishing por código de dispositivo;
- Ataques do tipo Adversary-in-the-Middle (AiTM);
- Geração automática de e-mails fraudulentos com auxílio de inteligência artificial;
- Gerenciamento de tokens e cookies de autenticação;
- Ferramentas para monitoramento das contas comprometidas.
Segundo a ZeroBEC, o uso da IA reduz significativamente o tempo e o custo para produzir mensagens de phishing personalizadas, além de facilitar a criação de novas plataformas criminosas.
Outro recurso identificado é a extensão de navegador ForgCookie, compatível com Google Chrome, Microsoft Edge e Brave. Ela permite renovar automaticamente os cookies de autenticação da Microsoft, garantindo que os invasores mantenham acesso às contas comprometidas sem exigir um novo login da vítima.
Técnicas utilizadas
O Forg365 trabalha principalmente com dois métodos de ataque:
- Phishing por código de dispositivo, que induz a vítima a autorizar um dispositivo controlado pelo criminoso utilizando um fluxo legítimo do protocolo OAuth 2.0;
- Ataques AiTM, que utilizam um servidor intermediário para capturar cookies de sessão e assumir o controle da conta.
A plataforma também incorpora mecanismos para dificultar a detecção, incluindo criptografia dos redirecionamentos, identificação de robôs de análise, verificações de ambiente virtual, código polimórfico e redirecionamento para páginas inofensivas quando detecta conexões por VPN.
Como se proteger
Os especialistas recomendam que empresas e administradores de TI restrinjam ou desativem a autenticação por código de dispositivo sempre que ela não for necessária. Também é importante monitorar os registros de autenticação do Microsoft Entra, verificando eventos relacionados ao uso desse método de login.
Além disso, devem ser acompanhadas alterações em regras de caixas de e-mail, novos dispositivos conectados, atividades do Microsoft Authentication Broker e concessões de permissões via OAuth.
Caso exista qualquer suspeita de comprometimento, a orientação é revogar imediatamente todos os tokens e sessões ativas, além de redefinir as credenciais da conta para impedir novos acessos indevidos.
Fonte: https://www.cisoadvisor.com.br/forg365-novo-phaas-rouba-contas-microsoft-365-com-ia/ acesso em 13/07/2026 às 18:20
