A página de início de sessão era verdadeira, o código não, e abriram-se 12 000 caixas de correio
O código chega por e-mail. Carrega no botão, aterra em microsoft.com/devicelogin, que é a página autêntica da Microsoft, e escreve o código. O ataque é isto.
A Unidade de Crimes Digitais da Microsoft anunciou a 22 de setembro que tinha desmontado o EvilTokens, um serviço de phishing vendido numa montra do Telegram por 1500 dólares de entrada e 500 dólares por mês. Com uma ordem do tribunal do Distrito Leste da Virgínia, apreendeu 50 sites e desativou mais de 150 outros domínios. A Polícia Metropolitana de Londres deteve a 11 de setembro dois homens, de 32 e 38 anos; ambos ficaram em liberdade sob caução enquanto a investigação prossegue. Entre fevereiro e junho, os clientes do serviço entraram em mais de 12 000 caixas de correio em mais de 10 000 organizações, sobretudo nos Estados Unidos, no Canadá, no Reino Unido, na Austrália, na Índia e em França.
O phishing com código de dispositivo funciona porque nada parece errado. A página de início de sessão é autêntica, a barra de endereço está correta e o pedido do segundo fator comporta-se exatamente como deve, porque está mesmo a iniciar sessão. A única mentira é sobre quem pediu. Aquele código foi gerado pelo criminoso e, quando o aprova, o token de acesso vai para ele e não para si. Nenhuma palavra-passe muda de mãos, e é por isso que mudar a sua depois não resolve nada.
A regra que o protege é curta. Um código de dispositivo serve para iniciar sessão em algo que dificilmente aceita uma palavra-passe, como uma aplicação de televisão ou uma consola, e esse código devia ter aparecido primeiro nesse aparelho. Se lhe chegar um código numa mensagem e não tiver sido você a iniciar uma sessão, não o escreva em lado nenhum. A Microsoft juntou uma frase dura sobre o que vem a seguir e vale a pena guardá-la: parta do princípio de que uma caixa comprometida foi lida em minutos, não em dias. A verificação de privacidade e contas do Tendvane percorre as definições de início de sessão e de contas do seu PC e diz-lhe com clareza o que está exposto.