A Microsoft confirmou o fim do envio de códigos para a autenticação por SMS em contas pessoais após falhas de segurança exporem riscos severos na nuvem. A decisão foi acelerada após a identificação de uma campanha de ataques virtuais do grupo Storm-2949 em maio de 2026. Os criminosos violaram ambientes corporativos manipulando o sistema de redefinição de senhas. A ofensiva mirou contas de alta liderança para exfiltrar dados sensíveis de plataformas como Azure e Microsoft 365.
A mudança reflete um esforço global coordenado por agências de inteligência para banir as mensagens de texto como segundo fator de validação. O método é considerado frágil diante de táticas modernas de engenharia social e clonagem de chips telefônicos.
O golpe sofisticado do grupo Storm-2949 nos sistemas Azure
O grupo Storm-2949 comprometeu a segurança de contas corporativas ao simular atendimentos de suporte técnico para induzir a aprovação de solicitações de segundo fator de autenticação. Após o acesso, os invasores redefiniram credenciais e removeram os dispositivos originais dos usuários.
Em relatórios divulgados no dia 18 de maio de 2026, a equipe de inteligência da empresa detalhou que os alvos principais foram administradores e diretores. Os criminosos usaram recursos legítimos de gerenciamento, como a Graph API e permissões do Azure, para mascarar o roubo de informações confidenciais em bancos de dados SQL.
| Etapa do Ataque | Recurso Explorado | Objetivo dos Criminosos |
| 1. Abordagem | Engenharia social via suporte | Enganar administradores de TI |
| 2. Invasão | Redefinição de senha (SSPR) | Alterar métodos de validação |
| 3. Expansão | Graph API e Azure RBAC | Movimentação lateral na nuvem |
| 4. Roubo | Banco SQL e Key Vault | Exfiltração de dados sensíveis |
Os motivos técnicos para o fim da validação por mensagens corporativas
A substituição definitiva da autenticação por SMS prioriza métodos modernos como chaves de acesso digitais, e-mails verificados e aplicativos autenticadores proprietários. Autoridades como o FBI e a Agência de Segurança Cibernética e de Infraestrutura já alertavam sobre a fragilidade das mensagens de texto.
A tática criminosa não exige a interceptação direta do código enviado ao celular. Ela foca na fadiga de solicitações enviadas à vítima, que acaba cedendo à pressão do falso suporte técnico.
Recomendações de defesa e novos cenários para a segurança digital
Para mitigar novos incidentes em ambientes corporativos, as organizações devem adotar políticas rigorosas de menor privilégio no Azure até o fim de 2026. A retenção de registros de acesso por um ano ajuda na identificação de anomalias operacionais de alto risco.
O bloqueio de autenticações legadas impede que invasores usem brechas antigas para desviar o tráfego de dados confidenciais. A proteção efetiva exige o abandono completo de senhas estáticas em favor de ecossistemas totalmente criptografados.
PERGUNTAS FREQUENTES (FAQs)
-
Por que a autenticação por SMS é considerada insegura?
A autenticação por SMS apresenta vulnerabilidades graves por ser suscetível a fraudes de clonagem de chip e interceptação por páginas falsas de phishing. Criminosos organizados conseguem desviar as mensagens de texto ou enganar os usuários para roubar o acesso direto a contas pessoais e corporativas.
-
O que foi a campanha do grupo Storm-2949?
A campanha consistiu em um ataque cibernético focado em ambientes Microsoft 365 e Azure detectado em maio de 2026. Os invasores usaram engenharia social avançada para fraudar o processo de redefinição de senhas de administradores de redes e diretores executivos das empresas afetadas.
-
Quais ferramentas do Azure foram manipuladas no ataque?
Os invasores utilizaram ferramentas administrativas legítimas como a Graph API, permissões de controle de acesso e recursos internos do Key Vault. Dessa forma, as contas comprometidas conseguiram circular livremente pelo sistema de nuvem sem ativar nenhum tipo de alerta de malwares tradicionais.
-
Quais são os substitutos recomendados para o login por SMS?
A Microsoft orienta a substituição por chaves de acesso seguras conhecidas como passkeys, além de aplicativos autenticadores oficiais e e-mails previamente verificados. Esses métodos modernos oferecem maior proteção técnica e resistência contra tentativas de fraudes e manipulações digitais que ocorrem na internet.
-
Como proteger ambientes corporativos contra essas brechas na nuvem?
As empresas devem exigir mecanismos de validação resistentes a fraudes para todas as contas administrativas e limitar acessos conforme as regras de menor privilégio. Também recomenda-se manter os relatórios de auditoria de nuvem totalmente ativos por pelo menos doze meses seguidos.
