Golpe do código de dispositivo no Microsoft 365: como bloquear
O golpe do código de dispositivo faz o funcionário entrar na página verdadeira da Microsoft e aprovar, com a própria autenticação em dois fatores, o acesso do criminoso ao e-mail e aos arquivos da empresa. A defesa é bloquear esse tipo de login por Acesso Condicional para quem não precisa dele e ensinar a equipe a nunca digitar códigos recebidos.
O que é o golpe do código de dispositivo no Microsoft 365?
O Microsoft 365 tem um jeito de fazer login pensado para aparelhos sem teclado, como TVs de sala de reunião e telas compartilhadas. O aparelho mostra um código curto. A pessoa abre microsoft.com/devicelogin no celular ou no computador, digita o código e entra com a própria conta. A Microsoft chama esse recurso de fluxo de código de dispositivo (em inglês, device code flow).
O criminoso usa esse mesmo recurso. Ele pede um código à Microsoft em nome de um "aparelho" que só existe na máquina dele. Depois convence o funcionário a digitar esse código na página oficial. Quando o funcionário termina o login, a Microsoft entrega ao criminoso as chaves de acesso à conta, chamadas de tokens. O próprio funcionário autoriza a entrada sem perceber.
A própria Microsoft descreve esse fluxo como um método de alto risco, que pode fazer parte de um ataque de phishing, na documentação sobre fluxos de autenticação no Acesso Condicional.
Como foi a campanha que atingiu centenas de empresas em 2026?
A Huntress, empresa americana de segurança, observou o primeiro caso em 19 de fevereiro de 2026. Entre 2 e 19 de março, ela contou 344 organizações afetadas nos Estados Unidos, Canadá, Austrália, Nova Zelândia e Alemanha, segundo o relatório da Huntress. A lista inclui construtoras, escritórios de advocacia, ONGs, imobiliárias, indústrias e serviços de saúde, um perfil comum entre pequenas e médias empresas brasileiras.
As iscas eram e-mails comuns de trabalho: pedido de orçamento de obra, documento para assinar no DocuSign, aviso de mensagem de voz e formulários da Microsoft. A página falsa já mostrava o código e um botão "Continuar para a Microsoft", que abria a página verdadeira de login. O The Hacker News relatou em 25 de março de 2026 que os links passavam por serviços de redirecionamento de fornecedores de segurança conhecidos, o que ajudava os e-mails a escapar dos filtros de spam.
Por que a autenticação em dois fatores não segura esse golpe?
A MFA (autenticação em dois fatores) confirma que quem está entrando é o dono da conta. No golpe do código, quem entra é mesmo o dono da conta. O funcionário digita a senha, aprova o aviso no celular e conclui um login verdadeiro. O criminoso recebe o resultado desse login. A Huntress escreveu no relatório que a MFA não é uma mitigação eficaz para esse ataque.
Trocar a senha também não basta. O The Hacker News informou que os tokens roubados continuam válidos mesmo depois que a vítima troca a senha. Por isso a resposta a um caso precisa encerrar as sessões da conta.
Para o negócio, a consequência é a conta de e-mail nas mãos de terceiros. O criminoso lê conversas com clientes, envia cobranças falsas do endereço verdadeiro e abre arquivos no OneDrive. Se esses arquivos tiverem dados pessoais, sua empresa precisa avaliar se o caso exige comunicação à ANPD e aos titulares, como prevê o art. 48 da LGPD.
Como bloquear o login por código de dispositivo no Microsoft 365?
A Microsoft recomenda bloquear o fluxo de código de dispositivo sempre que possível e liberar só em usos documentados, como equipamentos antigos que não aceitam outro tipo de login. O passo a passo está na página Bloquear fluxos de autenticação com política de Acesso Condicional. Os passos principais são estes:
- Entre no centro de administração do Microsoft Entra com uma conta de administrador de Acesso Condicional.
- Abra Entra ID, depois Acesso Condicional, depois Políticas, e crie uma nova política.
- Inclua todos os usuários e exclua as contas de emergência da empresa.
- Em recursos, selecione todos os recursos.
- Em Condições, abra Fluxos de autenticação e marque o fluxo de código de dispositivo.
- Em Conceder, escolha bloquear o acesso.
- Ative a política primeiro no modo somente relatório e só depois mude para ativada.
O modo somente relatório mostra quem usaria o fluxo sem bloquear ninguém. Se a sala de reunião usa um aparelho que depende desse login, a documentação mostra como manter o bloqueio para todos e abrir exceção só para aqueles aparelhos numa rede específica.
O Acesso Condicional exige licença Microsoft Entra ID P1, e o plano Microsoft 365 Business Premium já inclui o recurso, segundo a visão geral do Acesso Condicional. Sem essa licença, avalie mudar de plano ao menos nas contas da diretoria e do financeiro.
O que fazer se um funcionário já digitou o código?
Aja no mesmo dia. A orientação da Microsoft para revogar o acesso de um usuário indica dois passos no centro de administração do Entra: desativar a conta temporariamente e clicar em "Revogar sessões" na página do usuário. Com isso o criminoso deixa de obter tokens novos. A mesma página explica que os tokens de acesso já emitidos duram, por padrão, até 1 hora, então acompanhe a conta nesse intervalo.
Depois disso:
- confira se surgiram regras de encaminhamento ou de exclusão automática na caixa de entrada;
- veja no registro de entradas do Entra de onde vieram os acessos recentes;
- avise clientes e fornecedores se houver chance de mensagens falsas terem saído da conta;
- registre o que aconteceu, com datas, para decidir com o jurídico sobre comunicações obrigatórias.
Como treinar a equipe contra o golpe do código?
O bloqueio técnico fecha a porta no Microsoft 365, e o treinamento cobre outros serviços que usam o mesmo tipo de login. A Huntress recomenda ensinar aos usuários que digitar um código de dispositivo pode ser perigoso mesmo no site verdadeiro da Microsoft.
Passe para a equipe uma regra simples. Só digite um código de login quando você mesmo estiver configurando um aparelho que está na sua frente. Código que chega por e-mail, chat, mensagem ou página de documento é tentativa de golpe. Explique também que, nesse golpe, a página de login ser verdadeira não prova nada.
Depois, teste a regra: inclua na simulação de phishing uma mensagem que pede para digitar um código e acompanhe quem clicaria. Converse com quem errou e repita o teste.
Por onde começar na sua empresa?
Comece pela política em modo somente relatório e por uma conversa curta com a equipe sobre a regra do código. Os analistas da CyberArmor aplicam esse tema na Conscientização com simulação de phishing, com a primeira campanha em até 30 dias, e revisam as políticas de acesso do seu Microsoft 365 no Gestor de segurança sob demanda (vCISO). Quer ver a situação da sua empresa? Falar com um especialista.
Fontes
- Riding the Rails: Threat Actors Abuse Railway.com PaaS as Microsoft 365 Token Attack Infrastructure, Huntress, 20/03/2026
- Device Code Phishing Hits 340+ Microsoft 365 Orgs Across Five Countries via OAuth Abuse, The Hacker News, 25/03/2026
- Authentication flows as a condition in Conditional Access policy, Microsoft Learn
- Block authentication flows with Conditional Access policy, Microsoft Learn
- Microsoft Entra Conditional Access: visão geral e licenças, Microsoft Learn
- Revoke user access in an emergency in Microsoft Entra ID, Microsoft Learn
- Lei nº 13.709/2018 (LGPD), Planalto