Phishing por Código de Dispositivo no Microsoft 365

Phishing por código de dispositivo (em inglês, device code phishing) é um golpe em que o criminoso convence um funcionário a digitar um código curto em uma página de login que é, de fato, da Microsoft. Ao concluir essa autenticação, o funcionário acaba autorizando uma sessão que pertence ao atacante — e não ao próprio computador.

O tema merece atenção porque o golpe não depende de site falso nem de senha roubada. O endereço é legítimo, a tela é legítima e o MFA pode ser concluído normalmente. O que está errado é a origem da solicitação. Como o fluxo de código de dispositivo faz parte do Microsoft Entra ID, o serviço de identidade usado pelo Microsoft 365, qualquer empresa que use e-mail, OneDrive, SharePoint ou Teams da Microsoft precisa saber se esse mecanismo está liberado no seu ambiente e se ele realmente é necessário.

O que é phishing por código de dispositivo?

É uma forma de engenharia social. Em vez de capturar a senha, o criminoso tenta obter o resultado final de um login bem-sucedido: um token de autenticação, que funciona como uma credencial temporária que permite acessar e-mails, arquivos e outros recursos sem pedir a senha novamente a cada ação.

O golpe costuma chegar por e-mail, mensagem, telefone ou aplicativo de conversa, com um pretexto plausível: uma proposta comercial, um documento compartilhado, uma fatura, uma reunião ou um suposto procedimento de segurança. Em algum momento, a vítima recebe um código e a orientação de digitá-lo em uma página de autenticação da Microsoft.

O que é o device code flow da Microsoft?

O fluxo de código de dispositivo é um método de login previsto no Microsoft Entra ID para equipamentos que não possuem navegador ou teclado adequado. A documentação da Microsoft cita como exemplos dispositivos compartilhados e telas de sinalização digital.

Funciona assim, de forma simplificada: o equipamento exibe um código; a pessoa abre a página de autenticação em outro aparelho, como celular ou notebook, digita o código e faz o login com suas credenciais e o seu MFA. Ao final, o equipamento original passa a ter acesso à conta.

Em um uso legítimo, quem vê o código é a mesma pessoa que está diante do equipamento e sabe exatamente por que está autenticando.

Por que esse fluxo legítimo pode ser usado em ataques?

Porque nada no fluxo confirma que quem iniciou a solicitação é a mesma pessoa que vai aprová-la. Se um terceiro inicia o processo e repassa o código, a aprovação feita pela vítima concede o acesso a esse terceiro.

A própria Microsoft classifica o device code flow como um método de autenticação de alto risco, que pode fazer parte de um ataque de phishing ou ser usado para acessar recursos corporativos em dispositivos não gerenciados.

Como funciona o ataque (visão defensiva)

A sequência abaixo é conceitual e serve apenas para ajudar a reconhecer o golpe:

1. O criminoso inicia ou prepara uma solicitação de autenticação.
2. A vítima recebe um código e uma instrução por meio de engenharia social.
3. A vítima acessa uma página legítima de autenticação.
4. A vítima digita o código e conclui o login, inclusive o MFA.
5. Essa autenticação autoriza a sessão vinculada à solicitação do atacante.
6. O atacante passa a usar o acesso autorizado.
7. Pode haver abuso posterior de e-mail, arquivos ou da identidade, como regras ocultas na caixa de entrada e novas mensagens fraudulentas enviadas a clientes e fornecedores.

Segundo a Microsoft, tokens obtidos dessa forma vêm sendo usados para extrair e-mails e manter persistência, frequentemente por meio de regras de caixa de entrada que escondem comunicações.

Por que o usuário vê uma página legítima da Microsoft?

Porque a página realmente é da Microsoft. Esse é o ponto que torna o golpe mais difícil de perceber: o treinamento tradicional ensina a conferir o endereço do site, e aqui o endereço está correto.

A pergunta que o usuário precisa fazer não é "esta página é verdadeira?", e sim "fui eu que iniciei este login, neste momento, por um motivo que conheço?". Se a resposta for não, o código não deve ser digitado.

Device code phishing consegue contornar o MFA?

A forma correta de descrever é: o usuário pode ser induzido a realizar uma autenticação legítima e aprovar um fluxo iniciado pelo atacante. O MFA funciona como foi projetado — confirma que a pessoa certa está fazendo o login —, mas o login autoriza a sessão errada.

Ou seja, o problema está no abuso do fluxo e na engenharia social, não em uma quebra técnica do MFA. Isso não torna o MFA dispensável: ele continua bloqueando uma grande variedade de ataques baseados em senha. O que muda é a necessidade de combiná-lo com controles de acesso, como o Acesso Condicional, e com métodos mais resistentes a phishing. O artigo sobre a transição do SMS e da voz para passkeys no Microsoft Entra ID aprofunda essa evolução da autenticação.

O que é EvilTokens e por que ele chamou atenção em 2026?

EvilTokens é o nome usado pela Microsoft para descrever uma plataforma de phishing-as-a-service — um serviço criminoso vendido a terceiros — que surgiu em fevereiro de 2026 e abusava do device code flow para obter tokens e comprometer contas organizacionais.

Na pesquisa publicada em setembro de 2026, a Microsoft relata que a plataforma:

Segundo a Microsoft, a plataforma facilitou campanhas que comprometeram mais de 12 mil caixas de entrada em mais de 10 mil organizações no mundo. Esses números pertencem à pesquisa da Microsoft, não a levantamentos da Suporte de TI - Resolve Tecnologias.

Em abril de 2026, a Microsoft já havia descrito uma campanha semelhante com uso de IA, na qual a geração dinâmica de códigos contornava a janela de expiração de cerca de 15 minutos que normalmente limitava esse tipo de golpe.

Quais empresas estão mais expostas?

Qualquer organização que use Microsoft 365 pode ser alvo. A exposição tende a ser maior quando:

Empresas pequenas e médias também entram nesse grupo: os ataques são automatizados e não dependem do porte do alvo.

Como identificar sinais de possível comprometimento

Alguns sinais merecem verificação imediata pela equipe de TI:

Como verificar se sua empresa realmente utiliza device code flow

Antes de qualquer bloqueio, a empresa precisa saber se depende do recurso. Os registros de entrada do Microsoft Entra ID permitem identificar autenticações feitas por esse fluxo, quais contas as realizaram e com que frequência.

Em geral, o uso legítimo se concentra em poucos casos: salas de reunião, dispositivos compartilhados, equipamentos com entrada limitada ou ferramentas administrativas específicas. Se o uso encontrado não corresponde a nenhum cenário conhecido, ele precisa ser investigado.

Como o Conditional Access ajuda a controlar esse risco

O Acesso Condicional da Microsoft (Conditional Access) é o recurso do Microsoft Entra ID que decide se um login será permitido, bloqueado ou condicionado a exigências adicionais. Ele inclui a condição Fluxos de autenticação, que permite tratar especificamente o device code flow.

Com ela, a TI pode bloquear o fluxo para toda a organização, ou permiti-lo apenas para contas, dispositivos e locais definidos. A documentação cita como exemplo bloquear o fluxo em todos os lugares, exceto em dispositivos Android de salas de reunião em uma localização de rede específica. O uso do Acesso Condicional exige licenciamento Microsoft Entra ID P1 ou superior.

A boa prática documentada pela Microsoft segue esta ordem:

1. avaliar o uso existente do fluxo;
2. criar a política em modo Report-only (somente relatório), que registra o efeito sem bloquear ninguém;
3. validar o impacto e identificar as exceções legítimas;
4. somente então ativar a política definitiva.

As contas de acesso de emergência devem ficar fora da política, e a lista de exclusões precisa ser auditada regularmente.

Quando bloquear o device code flow

A Microsoft recomenda chegar o mais perto possível de um bloqueio total. Para organizações que não usam o recurso, o bloqueio é o caminho indicado. Para as demais, o fluxo deve ficar disponível apenas em casos bem documentados e protegidos.

O que não se recomenda é bloquear sem antes verificar dependências: um bloqueio feito às cegas pode interromper salas de reunião ou ferramentas administrativas da noite para o dia.

Quando podem ser necessárias exceções

Exceções legítimas podem envolver:

Cada exceção deve ter dono, justificativa, escopo mínimo (contas e dispositivos específicos, nunca "todos") e data de revisão.

Cuidados com dispositivos Microsoft Teams e equipamentos compartilhados

Segundo a Microsoft, alguns dispositivos Teams usam o device code flow no primeiro registro, no reprovisionamento e em certas reautenticações. Nesses casos, a orientação oficial é limitar a exceção às contas de recurso dos dispositivos Teams — como contas de sala ou de equipamento compartilhado — em vez de liberar o fluxo para toda a organização.

Também vale manter um inventário dessas contas, protegê-las com senhas fortes e acompanhar os logins realizados por elas.

O que fazer diante de suspeita de conta comprometida

Se um funcionário digitou um código suspeito ou a TI encontrou sinais de acesso indevido:

1. Acione a equipe de TI imediatamente, sem esperar confirmação.
2. Revogue as sessões ativas da conta, como parte do processo de resposta.
3. Redefina a senha, lembrando que trocar apenas a senha pode não encerrar sessões e tokens já emitidos.
4. Revise métodos de autenticação, dispositivos registrados e regras de caixa de entrada.
5. Verifique e-mails enviados e avise clientes e fornecedores, se houver risco de fraude.
6. Registre o incidente e avalie obrigações legais, como as da LGPD, quando houver dados pessoais envolvidos.

Comprometimento de identidade e perda de dados são riscos diferentes. Um backup corporativo ajuda a recuperar arquivos alterados ou apagados, mas não impede o acesso indevido à conta. O artigo Microsoft 365 tem backup? explica o que a plataforma protege e o que continua sob responsabilidade da empresa.

Situações, riscos e controles

Checklist de proteção para Microsoft 365

Esses controles atuam na camada de identidade, onde esse golpe acontece. Recursos de rede como um firewall corporativo continuam importantes na segurança em camadas, mas não impedem sozinhos um login legítimo autorizado pelo usuário. Para outros ajustes comuns do ambiente, vale consultar os erros de configuração de segurança mais frequentes no Microsoft 365.

Perguntas frequentes

O que é device code phishing?

É um golpe em que o criminoso induz o usuário a digitar um código em uma página legítima de login da Microsoft. Ao concluir a autenticação, o usuário autoriza uma sessão controlada pelo atacante.

O que é o fluxo de código de dispositivo da Microsoft?

É um método de login do Microsoft Entra ID para equipamentos sem navegador ou teclado adequado. A pessoa digita em outro aparelho o código exibido pelo equipamento e conclui o login.

Device code phishing rouba minha senha?

Normalmente não. O objetivo é obter tokens de acesso gerados após um login legítimo, o que permite usar a conta sem conhecer a senha.

O ataque consegue passar pelo MFA?

O MFA não é quebrado. O usuário é induzido a concluir uma autenticação verdadeira, incluindo o MFA, que acaba autorizando a sessão iniciada pelo atacante.

Por que a página de login pode ser realmente da Microsoft?

Porque o golpe usa o fluxo oficial de autenticação. Por isso, conferir o endereço não basta: é preciso confirmar se foi você quem iniciou aquele login.

O que é EvilTokens?

É o nome usado pela Microsoft para uma plataforma de phishing-as-a-service observada em 2026, que abusava do device code flow. Segundo a Microsoft, ela facilitou o comprometimento de mais de 12 mil caixas de entrada em mais de 10 mil organizações.

Toda empresa que usa Microsoft 365 está vulnerável?

Qualquer empresa pode ser alvo de tentativas. O risco é maior quando o fluxo está liberado sem necessidade, não há Acesso Condicional e os usuários não foram orientados.

É seguro bloquear device code flow?

Sim, desde que a empresa verifique antes se depende dele. A Microsoft recomenda testar a política em Report-only, identificar exceções legítimas e só então ativar o bloqueio.

Como saber se minha empresa utiliza esse fluxo?

Pelos registros de entrada do Microsoft Entra ID, que mostram logins realizados com device code flow, as contas envolvidas e a frequência de uso.

Microsoft Teams pode precisar de device code flow?

Sim. Alguns dispositivos Teams usam o fluxo no registro e em certas reautenticações. A Microsoft orienta limitar a exceção às contas de recurso desses dispositivos.

Conditional Access consegue bloquear esse tipo de autenticação?

Sim. A condição Fluxos de autenticação do Acesso Condicional permite bloquear o device code flow ou restringi-lo a contas, dispositivos e locais específicos. O recurso exige Microsoft Entra ID P1 ou superior.

O que fazer se um funcionário inseriu um código suspeito?

Acionar a TI imediatamente para revogar sessões, redefinir a senha e revisar métodos de autenticação, dispositivos registrados e regras de caixa de entrada.

Trocar apenas a senha resolve?

Pode não resolver. Tokens e sessões já emitidos podem continuar válidos; por isso, a revogação de sessões faz parte da resposta ao incidente.

Passkeys ajudam contra phishing?

Passkeys são métodos resistentes a phishing e fortalecem a autenticação. Ainda assim, a proteção contra esse golpe também depende de restringir o device code flow.

Microsoft Defender impede todos esses ataques?

Nenhuma ferramenta garante proteção absoluta. O Microsoft Defender ajuda a detectar atividades suspeitas, mas deve ser combinado com Acesso Condicional, orientação aos usuários e resposta a incidentes.

A Suporte de TI - Resolve Tecnologias pode revisar a segurança do Microsoft 365?

Sim. Suporte de TI - Resolve Tecnologias revisa configurações de identidade, Acesso Condicional e segurança do Microsoft 365 para empresas no Rio de Janeiro e na Região Metropolitana.

Conclusão

O device code flow é um recurso legítimo. O risco surge quando ele é abusado por meio de engenharia social, e por isso códigos recebidos sem contexto precisam ser tratados com desconfiança. Cada empresa deve verificar se realmente precisa desse fluxo: a Microsoft recomenda bloqueá-lo sempre que possível, e as exceções devem ser documentadas, limitadas e revisadas.

Mais do que uma configuração isolada, o caso mostra que a identidade precisa fazer parte da estratégia de segurança, ao lado de MFA, monitoramento, backup e resposta a incidentes.

---

Precisa revisar a segurança do Microsoft 365 da sua empresa? A Suporte de TI - Resolve Tecnologias atua com Microsoft 365 para empresas e suporte de TI corporativo, com atendimento remoto e presencial no Rio de Janeiro. Conheça os serviços de TI e quem é a empresa Suporte de TI - Resolve Tecnologias como empresa de TI, ou fale conosco pelo WhatsApp (21) 99063-9244 ou pelo e-mail resolvetecnologias@resolvetecnologias.com.br.

Fontes oficiais

• Microsoft Security Blog — Unmasking EvilTokens: Getting to the root of device code phishing (setembro de 2026)
• Microsoft Security Blog — Inside an AI-enabled device code phishing campaign (abril de 2026)
• Microsoft Learn — Block authentication flows with Conditional Access policy
• Microsoft Learn — Authentication flows as a condition in Conditional Access policy
• Microsoft Learn — Restrict device code flow for Microsoft Teams devices with Conditional Access