Um novo kit de phishing comercializado como serviço, batizado NovaCookies, está a ser usado para intercetar sessões autenticadas de contas Microsoft 365 e contornar a autenticação multifator. A investigação da Proofpoint associa o NovaCookies ao já conhecido Sneaky2FA, tratando-o como uma nova geração dessa ferramenta, e num dos casos documentados o kit permitiu tomar conta de mais de uma centena de contas na nuvem de uma organização de saúde no espaço de um único dia. A mudança relevante não é técnica: é comercial. O acesso deixou de exigir competências de alojamento e configuração e passou a vender-se como subscrição mensal.
Resposta rápida: O NovaCookies é um kit de phishing como serviço que atua em modo adversário-no-meio: a página falsa retransmite credenciais e dados de sessão para o serviço legítimo e o atacante fica com o cookie de sessão, dispensando o segundo fator. A Proofpoint detetou-o pela primeira vez em fevereiro de 2026 e relaciona-o com o Sneaky2FA. A defesa eficaz passa por autenticação resistente a phishing (chaves de acesso ou FIDO2), acesso condicional com estado do dispositivo, sessões curtas e revogação imediata de tokens em caso de suspeita.
O que é o NovaCookies e o que muda face ao Sneaky2FA
O nome remete diretamente para o objetivo: cookies. Segundo a análise atribuída à Proofpoint, o NovaCookies foi detetado pela primeira vez em fevereiro de 2026, com utilização crescente entre março e maio e uma redução do número de ataques registados em junho. Os especialistas da Proofpoint ligam o NovaCookies ao conjunto Sneaky2FA e consideram-no uma nova versão dessa ferramenta anterior.
A diferença mais importante está no modelo de negócio e na cobertura de alvos. Os operadores distribuem o NovaCookies como um serviço de phishing totalmente gerido: os clientes pagam pelo acesso à plataforma e o operador mantém de forma centralizada os servidores e a restante infraestrutura. Este modelo dispensa os participantes nos ataques de terem de montar por si a componente técnica da campanha. Já a versão anterior, o Sneaky2FA, dirigia-se sobretudo a contas Microsoft, enquanto o NovaCookies oferece cenários separados para o Okta e para domínios Entra associados à GoDaddy.
O contraste com o antecessor é revelador. O Sneaky2FA era vendido por um grupo conhecido como Sneaky Log através de um bot no Telegram, com os clientes a receberem uma versão licenciada e ofuscada do código-fonte, por um valor na ordem dos 200 dólares por mês, com descontos para subscrições mais longas. Em registos anteriores, o preço anunciado começava nos 150 dólares mensais para os primeiros dez utilizadores. O valor de cerca de 320 dólares por mês tem sido referido na divulgação pública sobre o NovaCookies; não foi possível confirmá-lo em publicação primária, pelo que deve ser lido como indicativo do posicionamento comercial e não como preço oficial.
| Dimensão | Sneaky2FA | NovaCookies |
|---|---|---|
| Modelo de entrega | Código-fonte licenciado e ofuscado, alojado pelo cliente | Serviço totalmente gerido, infraestrutura mantida pelo operador |
| Alvos principais | Sobretudo contas Microsoft | Microsoft, com fluxos dedicados para Okta e domínios Entra ligados à GoDaddy |
| Barreira técnica para o atacante | Média (exige alojamento e configuração) | Baixa (acesso por subscrição) |
Como funciona o roubo de sessão em modo adversário-no-meio
A mecânica é conhecida e comprovadamente eficaz. O NovaCookies interceta dados através de um esquema de “homem no meio”: uma página falsa transmite o utilizador, a palavra-passe e os dados de sessão introduzidos para o serviço real, e o acesso obtido permite contornar a autenticação multifator. Em termos práticos, a vítima autentica-se com sucesso — inclusive com o segundo fator — mas o kit fica com o comprovativo dessa autenticação.
A própria Microsoft descreveu esta classe de ataque de forma inequívoca. Este tipo de montagem permite ao atacante roubar e intercetar a palavra-passe e o cookie de sessão que prova a sessão autenticada em curso; não se trata de uma vulnerabilidade no MFA, porque o atacante fica autenticado numa sessão em nome do utilizador, independentemente do método de início de sessão usado.
No caso da identidade Microsoft, os artefactos visados são os cookies de sessão do Entra ID. Em investigações anteriores sobre técnicas equivalentes, os alvos identificados foram precisamente os cookies ESTAUTH e ESTSAUTHPERSISTNT do Azure Entra ID, o serviço de gestão de identidades e acessos da Microsoft na nuvem. Vale a pena notar que o ESTSAUTHPERSISTENT é a versão persistente do token de sessão do Entra ID, definida quando o utilizador escolhe manter-se autenticado ou quando políticas organizacionais impõem essa opção — ou seja, a comodidade do “manter sessão iniciada” alonga a janela de abuso.
Cronologia: do Sneaky2FA ao NovaCookies
| Data | Marco |
|---|---|
| Outubro de 2024 | Início da circulação do kit Sneaky2FA contra contas Microsoft 365 |
| Janeiro de 2025 | Publicação de análise pública do Sneaky2FA como kit de phishing adversário-no-meio |
| Novembro de 2025 | Documentação do uso de técnicas Browser-in-the-Browser pelo Sneaky2FA para criar janelas de autenticação falsas |
| Fevereiro de 2026 | Primeira deteção do NovaCookies pela Proofpoint |
| Março a maio de 2026 | Aumento da utilização da nova versão pelos atacantes |
| Junho de 2026 | Descida no número de ataques registados |
| Julho de 2026 | Divulgação do caso de tomada de mais de 100 contas na nuvem de uma organização médica num só dia |
Mais de 100 contas numa organização de saúde em 24 horas
O elemento que dá dimensão ao caso é a velocidade. Os serviços de phishing estão a transformar-se progressivamente em plataformas prontas para conduzir ataques em massa, e o novo kit NovaCookies ajudou os atacantes a apoderar-se de mais de 100 contas na nuvem de uma organização médica num único dia. Não é preciso um comprometimento sofisticado de rede: bastam uma campanha de correio bem dirigida e um painel gerido por terceiros.
Este padrão encaixa numa tendência mais ampla. De acordo com dados sobre incidentes documentados, o roubo de tokens foi a técnica mais observada — em 31% dos casos — para contornar o MFA e obter acesso a serviços Microsoft 365, e uma forma comum de obter cookies de sessão é recorrer a um ladrão de informação. E o volume não está a diminuir: investigadores registaram 7,4 milhões de dispositivos infetados com infostealers no primeiro semestre de 2026, um aumento de 27% face aos seis meses anteriores, com 1,7 mil milhões de credenciais recolhidas entre janeiro e junho, segundo dados da Flashpoint.
Mitigações concretas para equipas de TI e PME
Se o segundo fator clássico deixa de ser barreira, a resposta tem de deslocar-se para a sessão e para o dispositivo. Medidas com efeito prático imediato:
- Adotar autenticação resistente a phishing — chaves de acesso ou FIDO2 — em contas de administração, direção, financeiro e recursos humanos, antes de generalizar ao resto da organização.
- Complementar o MFA com políticas de acesso condicional. As organizações devem considerar avaliar os pedidos de início de sessão com sinais adicionais de identidade, como pertença a utilizador ou grupo, informação de localização de IP e estado do dispositivo.
- Reduzir o tempo de vida das sessões e limitar o “manter sessão iniciada” em perfis de risco elevado.
- Monitorizar os registos de início de sessão do Entra ID. Estes registos contêm os sinais de deteção mais críticos, incluindo viagens impossíveis, acessos por proxies anónimos e alterações de regras de caixa de entrada feitas imediatamente após o acesso.
- Ter um procedimento treinado de revogação de sessões. Mesmo depois de o utilizador redefinir a palavra-passe, muitos tokens de sessão continuam válidos até serem explicitamente revogados ou expirados por política de segurança.
- Assumir que o comprometimento pode nascer fora do perímetro. Uma infeção por infostealer no dispositivo pessoal de um colaborador pode render credenciais de VPN corporativa, tokens de autenticação única e cookies de sessão que permitem contornar o MFA.
Um alerta operacional adicional: este nível de discrição escapa frequentemente às ferramentas de deteção e resposta em endpoint, normalmente afinadas para força bruta, preenchimento de credenciais ou assinaturas conhecidas, e não para reutilização de sessões com tokens válidos.
Porque é que isto importa em Portugal
O sector da saúde não foi escolhido por acaso no caso divulgado: concentra dados clínicos, tem forte dependência de correio eletrónico e opera com equipas grandes e turnos rotativos. Em Portugal, entidades de saúde e muitos dos seus fornecedores estão abrangidos pelo Regime Jurídico da Ciberseguraança, o Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, que impõe medidas de gestão de risco, controlo de acessos e obrigações de notificação de incidentes ao CNCS. Uma tomada de conta de mais de cem contas de nuvem numa organização abrangida é, tipicamente, um incidente com impacto significativo — e, portanto, um evento a comunicar dentro dos prazos previstos, além de ser assunto para articulação com o CERT.PT.
Há também uma dimensão de proteção de dados. Uma caixa de correio comprometida no Microsoft 365 dá acesso a anos de correspondência, anexos, faturas e, em contextos clínicos, a categorias especiais de dados. Isso coloca o incidente no âmbito do RGPD, com avaliação de risco para os titulares, eventual notificação à CNPD e comunicação aos afetados quando o risco for elevado. Para PME, o cálculo é ainda mais simples: uma subscrição mensal na ordem das centenas de dólares pode gerar fraude de pagamentos, cadeias de phishing a partir de remetentes legítimos e custos de resposta muito superiores.
A conclusão útil não é que o MFA seja inútil — continua a bloquear a esmagadora maioria dos ataques oportunistas. É que o MFA baseado em códigos deixou de ser suficiente quando o adversário aluga uma plataforma que fica no meio da conversa. A pergunta que as organizações devem fazer hoje é operacional: em quanto tempo é que conseguem revogar todas as sessões ativas de um utilizador comprometido?
Perguntas frequentes
O NovaCookies consegue contornar qualquer tipo de autenticação multifator?
Os ataques adversário-no-meio são eficazes contra métodos baseados em códigos e notificações de aprovação, porque roubam o comprovativo de sessão depois de a autenticação estar concluída. Métodos resistentes a phishing, como chaves de acesso e FIDO2, associam a autenticação à origem legítima e reduzem drasticamente a eficácia desta técnica.
Mudar a palavra-passe resolve o problema?
Não por si só. Muitos tokens de sessão permanecem válidos após a alteração da palavra-passe até serem explicitamente revogados ou expirarem. A resposta correta combina reposição de credenciais, revogação de sessões e revisão de regras de caixa de entrada, aplicações consentidas e métodos de MFA registados.
Que sinais devem ser vigiados nos registos do Microsoft 365?
Acessos a partir de localizações incompatíveis com o utilizador, uso de proxies anónimos, inícios de sessão que não desencadeiam novo desafio de MFA e criação de regras de encaminhamento de correio pouco depois do acesso. A correlação destes sinais é frequentemente a primeira evidência de reutilização de sessão roubada.
Uma PME portuguesa tem obrigações de notificação se isto acontecer?
Depende do enquadramento. Entidades abrangidas pelo Decreto-Lei n.º 125/2025 têm obrigações de notificação de incidentes significativos ao CNCS. Independentemente disso, se houver acesso indevido a dados pessoais, aplicam-se as regras do RGPD quanto à avaliação de risco, registo interno e eventual notificação à CNPD e aos titulares.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Proofpoint, Microsoft, Sekoia, eSentire, Varonis, HP Wolf Security e Flashpoint.