Uma nova plataforma de phishing-as-a-service (PhaaS) chamada ARToken foi identificada como afiliada ao já conhecido EvilTokens, trazendo à tona um conjunto de ferramentas projetadas especificamente para atacar ambientes Microsoft 365. A descoberta foi feita por pesquisadores de segurança que, ao analisar a infraestrutura da ARToken, encontraram scripts, modelos de e‑mail e servidores de comando e controle (C2) voltados à coleta de credenciais de contas corporativas. O relatório da BleepingComputer, publicado em 2 de julho de 2026, detalha como o serviço funciona, quais vetores de ataque são explorados e o potencial de dano para organizações que utilizam o Office 365 como principal ferramenta de colaboração.
Segundo a pesquisa, a ARToken opera como um marketplace onde afiliados podem comprar ou alugar kits de phishing prontos, personalizáveis para diferentes setores. Cada kit inclui um domínio falsificado, páginas de login clone do portal Microsoft, e scripts que capturam tokens de autenticação (OAuth) além de credenciais de usuário e senha. Os criminosos ainda contam com um painel de controle onde monitoram em tempo real os resultados das campanhas, possibilitando a venda de dados coletados a terceiros. Em um caso documentado, um grupo de afiliados conseguiu obter mais de 12 mil credenciais válidas em menos de 48 horas, demonstrando a eficácia do modelo.
O impacto imediato da descoberta recai sobre empresas que ainda utilizam autenticação básica ou não aplicam políticas de segurança avançadas, como MFA (autenticação multifator) e Conditional Access. No Brasil, onde mais de 70% das organizações de médio e grande porte migraram para o Microsoft 365 nos últimos dois anos, a ameaça representa um vetor de ataque crítico. A LGPD (Lei Geral de Proteção de Dados) impõe sanções severas para vazamentos de informações pessoais, e a captura de credenciais pode levar ao acesso indevido a dados sensíveis de clientes, funcionários e parceiros. Além disso, a possibilidade de uso de tokens de acesso para movimentar arquivos em SharePoint ou OneDrive aumenta o risco de exfiltração em massa.
A plataforma ARToken se destaca por sua estrutura de afiliados, que funciona como um programa de recompensas para invasores que trazem novos clientes ou vendem credenciais já obtidas. Cada afiliado recebe um código de rastreamento que permite à ARToken atribuir comissões automaticamente, criando um ecossistema auto‑sustentável de geração de phishing. Essa abordagem lembra modelos de negócios de fraudadores de cartão de crédito, mas aplicada ao universo de serviços em nuvem. O fato de a ARToken estar hospedada em servidores de cloud pública dificulta a sua identificação e bloqueio, pois os operadores podem mudar de provedor rapidamente para escapar de sanções.
Do ponto de vista técnico, o kit de phishing da ARToken emprega técnicas avançadas de engenharia social. Primeiro, o invasor coleta informações públicas sobre a vítima – como nome, cargo e endereço de e‑mail – por meio de redes sociais corporativas (LinkedIn, GitHub) e de bancos de dados de vazamentos anteriores. Em seguida, gera um e‑mail de aparência legítima, muitas vezes usando domínios que se assemelham ao original (ex.: “microsoft-verify.com”). O corpo da mensagem contém um link encurtado que redireciona para uma página de login falsa hospedada em um servidor comprometido. Essa página replica fielmente a interface do portal Microsoft 365, inclusive os scripts de JavaScript que geram o token OAuth após a inserção das credenciais.
Ao submeter as informações, o script captura tanto a senha quanto o token de acesso, enviando-os ao C2 da ARToken via HTTPS criptografado. O token pode ser usado para autenticação sem a necessidade da senha, permitindo ao atacante acessar serviços como Outlook, Teams, OneDrive e SharePoint como se fosse o usuário legítimo. Em muitos casos, os invasores configuram regras de encaminhamento de e‑mail para monitorar comunicações internas e acelerar a movimentação lateral dentro da rede corporativa.
Para contornar as defesas, a ARToken também inclui módulos de “domain spoofing” que alteram registros DNS (SPF, DKIM, DMARC) de domínios comprometidos, aumentando a taxa de entrega dos e‑mails maliciosos. Essa prática dificulta a detecção por filtros anti‑phishing tradicionais, pois os e‑mails parecem ter origem em servidores autorizados. Além disso, a plataforma oferece scripts de ofuscação de código que evitam assinaturas de antivírus, tornando a detecção baseada em padrões menos eficaz.
O que os usuários e administradores de TI brasileiros devem fazer agora? A primeira medida imediata é revisar as políticas de MFA para garantir que todas as contas, inclusive as de serviço, exijam autenticação multifator. Em seguida, habilitar o Conditional Access para bloquear logins de IPs ou regiões inesperadas e monitorar tentativas de login suspeitas no Azure AD. Também é recomendável implementar soluções de proteção contra phishing baseadas em inteligência de ameaças, que analisam URLs e domínios em tempo real. Por fim, treinar colaboradores para reconhecer e‑mails de engenharia social, reforçando a prática de não clicar em links encurtados ou inserir credenciais em páginas não verificadas.
Nos próximos dias, espera‑se que a ARToken seja alvo de ações de mitigação por parte de provedores de nuvem e das próprias plataformas de segurança que monitoram a dark web. Entretanto, a natureza descentralizada do modelo de afiliados indica que novos clones ou serviços semelhantes podem surgir rapidamente, aproveitando a mesma infraestrutura de phishing. Organizações que ainda não adotaram uma postura de “Zero Trust” precisarão acelerar a implementação de controles de acesso granulares e de monitoramento contínuo para reduzir a superfície de ataque. A vigilância constante e a atualização de políticas de segurança permanecem as melhores defesas contra esse tipo de ameaça em evolução.
Fonte: BleepingComputer