Uma nova técnica de ataque contra ambientes em nuvem está chamando a atenção das equipes de cibersegurança. Pesquisadores da Proofpoint identificaram o uso crescente da falsificação de IDs de clientes OAuth (OAuth Client ID Spoofing) para realizar enumeração de contas e validação de credenciais em ambientes Microsoft Entra ID sem produzir eventos de login bem-sucedidos, tornando a atividade significativamente mais difícil de detectar.
CONTEÚDO RELACIONADO – Migração para a nuvem reduz emissões, mas impacto ambiental ainda pesa pouco nas decisões das empresas
Segundo o estudo, a vulnerabilidade explora a forma como o Microsoft Entra ID responde a solicitações de autenticação contendo diferentes valores de client_id. Dependendo do identificador informado, o sistema retorna códigos de erro distintos, permitindo que invasores descubram se uma conta existe, se a senha está correta e até mesmo se há mecanismos como autenticação multifator (MFA) ou políticas de acesso condicional habilitadas, sem que ocorra uma autenticação bem-sucedida.
De acordo com a Proofpoint, o principal diferencial dessa abordagem é que ela dificulta o trabalho das equipes de operações de segurança (SOC). Quando o identificador de aplicativo é falsificado, o nome do aplicativo deixa de aparecer nos registros de login do Entra ID, reduzindo a eficácia de mecanismos de detecção que monitoram tentativas concentradas em aplicações específicas.
Os pesquisadores explicam que, mesmo quando a atividade é percebida, as organizações podem não identificar que credenciais válidas já foram descobertas pelos atacantes, aumentando o risco de comprometimento posterior das contas.
Campanhas em larga escala
A pesquisa identificou pelo menos duas campanhas independentes utilizando essa técnica.
A primeira, denominada UNK_pyreq2323, foi observada entre janeiro e março de 2026. Os atacantes distribuíram tentativas de enumeração utilizando mais de 700 mil IDs de clientes falsificados, atingindo mais de 1 milhão de contas em quase 4 mil locatários (tenants) do Microsoft Entra ID. Segundo o levantamento, aproximadamente 28% dos usuários atacados tiveram suas contas bloqueadas em decorrência do elevado volume de tentativas de autenticação.
Já a campanha UNK_OutFlareAZ, iniciada em dezembro de 2025 e retomada entre fevereiro e março de 2026, operou em escala ainda maior. A Proofpoint observou mais de 2 milhões de usuários sendo alvo de cerca de 3,7 milhões de IDs de aplicativos falsificados, utilizando infraestrutura baseada principalmente na Cloudflare e gerando um identificador OAuth exclusivo para cada tentativa de autenticação.
Embora ambas explorem o mesmo princípio, a empresa conclui que os métodos empregados, a infraestrutura utilizada e os padrões de execução indicam que se tratam de operadores distintos, sugerindo que a técnica está sendo adotada por diferentes grupos criminosos.
O que muda para as empresas
Para organizações que utilizam Microsoft Entra ID, a descoberta reforça a necessidade de ampliar o monitoramento dos registros de autenticação além dos indicadores tradicionais.
A Proofpoint recomenda que equipes de segurança passem a investigar eventos de login em que o campo de nome do aplicativo esteja vazio ou não exista correspondência entre o ID informado e um aplicativo registrado. A empresa também alerta que o código de erro AADSTS700016, normalmente associado a um identificador de aplicativo inválido, pode indicar que invasores conseguiram validar credenciais legítimas, e não apenas uma tentativa de autenticação malsucedida.
Na avaliação dos pesquisadores, o crescimento dessa técnica representa uma evolução dos ataques de enumeração de usuários em ambientes corporativos, permitindo que criminosos coletem informações valiosas sobre contas antes mesmo de iniciar campanhas de invasão ou comprometimento de identidade.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn, X e WhatsApp
