Uma plataforma comercial de phishing-como-serviço batizada de Mirage2FA está a ser usada para contornar a autenticação multifator (MFA) em contas Microsoft 365, roubando não só palavras-passe mas também os cookies de sessão que provam que o utilizador já se autenticou. O kit foi documentado em junho pela equipa de investigação da Fortra e, em agosto, um relatório da ANY.RUN quantificou o alcance da operação: milhares de endereços de correio eletrónico visados entre 2024 e 2026, com vítimas em dezenas de países. O detalhe mais incómodo para quem gere identidades corporativas é que o ataque não quebra o MFA — deixa a vítima completá-lo e fica com o resultado.
Resposta rápida: O Mirage2FA é um kit de phishing vendido como serviço que usa HTML smuggling e um proxy reverso do tipo adversary-in-the-middle (AiTM) para intercetar em tempo real logins do Microsoft 365 e capturar credenciais e cookies de sessão válidos. Segundo a ANY.RUN, foram identificados 9.426 endereços visados, dos quais 4.532 potencialmente comprometidos. A defesa eficaz passa por MFA resistente a phishing (FIDO2, passkeys, Windows Hello), políticas de acesso condicional e revogação imediata de sessões em caso de suspeita. Trate qualquer login estranho como incidente de identidade, não como simples roubo de senha.
O que é, afinal, o Mirage2FA
O nome foi atribuído pela equipa de investigação da Fortra, que identificou um kit de phishing multifásico dirigido ao Microsoft 365 e distribuído através de mensagens com temas de documentos seguros e pagamentos.A Fortra Intelligence and Research Experts (FIRE) identificou o kit e explicou que o ataque combina HTML smuggling de curta duração com carregadores JavaScript ofuscados num único fluxo, criando um efeito de “miragem” que ajuda a escapar à deteção enquanto ataca as proteções 2FA/MFA. Os investigadores enquadram-no numa tendência de campanhas que acumulam várias táticas para recolher credenciais e contornar ou intercetar fluxos de MFA, com impactos que podem incluir tomada de conta, desvio fraudulento de pagamentos, roubo de dados, phishing interno e acesso não autorizado a documentos sensíveis.
Já em agosto, uma análise da ANY.RUN veio acrescentar a dimensão comercial e a escala. O Mirage2FA é descrito como um kit ativo de Phishing-as-a-Service (PhaaS) desenhado para roubar credenciais e cookies de sessão do Microsoft 365, contornando o MFA convencional com uma arquitetura de proxy reverso AiTM: quando a vítima introduz utilizador, palavra-passe e código de uso único na página falsa, o kit reencaminha esses dados para o serviço legítimo da Microsoft por um canal WebSocket em tempo real, capturando simultaneamente as credenciais e o cookie de sessão autenticado válido. De acordo com o relatório, o kit é operado por um grupo identificado como LinX Coders e esteve ativo entre setembro de 2024 e julho de 2026.
A cadeia de ataque, passo a passo
O ataque decorre quase todo dentro do navegador, o que reduz os artefactos disponíveis para as defesas tradicionais de correio eletrónico. A ANY.RUN descreve uma cadeia baseada em anexos maliciosos, JavaScript remoto e um proxy AiTM que interceta a autenticação em tempo real: a entrega é feita por mensagens com anexos .htm, .xhtml ou .svg, ou através de ligações em código QR, com campanhas distribuídas em escala pelo serviço Amazon SES. Do lado técnico, observam-se stagers executados no navegador, ofuscação de JavaScript e atividade AiTM sobre WebSocket.
Na variante analisada pela Fortra, a mecânica de ofuscação é explícita.O payload HTML inicial usa JavaScript ofuscado para esconder o comportamento da inspeção estática e depois descodifica e executa código oculto recorrendo a Base64, XOR com 0xAD, TextDecoder e eval(). Ao abrir o anexo, a vítima vê uma página com imagem de marca Microsoft desenhada para parecer um documento empresarial protegido. A segunda fase imita o processo de início de sessão do Microsoft 365 com um falso CAPTCHA, campos de credenciais e pedidos relativos a vários métodos de MFA, incluindo aplicações autenticadoras e correspondência numérica; os investigadores encontraram ainda código de suporte a verificação por SMS, embora não tenham confirmado esse fluxo nos testes.
O objetivo final é o controlo da conta. Segundo a Fortra, a meta provável é a tomada de conta Microsoft 365 e, se as credenciais forem submetidas, o atacante pode passar a acessar correio eletrónico, ficheiros, mensagens do Teams, conteúdos do SharePoint e outros recursos SaaS ligados.
Os números divulgados (e o que eles não dizem)
| Indicador | Valor divulgado |
|---|---|
| Endereços de e-mail visados | 9.426 |
| Endereços potencialmente comprometidos | 4.532 (cerca de 48%) |
| Concentração geográfica | 63,7% das vítimas identificadas nos EUA |
| Países com atividade registada | 94 |
| Período de atividade | Setembro de 2024 a julho de 2026 |
Dos 9.426 endereços únicos visados, 4.532 foram considerados potencialmente comprometidos, o que representa uma taxa de sucesso aproximada de 48%. A telemetria de threat intelligence da ANY.RUN aponta 63,7% das vítimas identificadas nos Estados Unidos, ainda que tenha sido registada atividade em 94 países. A concentração setorial mais forte foi observada em tecnologia, MSSP, indústria transformadora e educação.
Há uma ressalva importante e que a própria investigação faz. O relatório nota que todos os valores de vítimas, comprometimentos e escala da campanha são estimativas aproximadas baseadas no conjunto de dados disponível e representam impacto potencial, não comprometimentos confirmados de forma independente. Ou seja: falar de “milhares de contas comprometidas” é uma leitura possível, mas não verificada caso a caso — e nenhuma das fontes primárias consultadas divulga números específicos para Portugal.
Indicadores de comprometimento e cronologia
| Tipo | Indicador / evento |
|---|---|
| Domínio | cheacker[.]store |
| Subdomínio | user.cheacker[.]store |
| Outros artefactos | Endereço IP e recursos JavaScript associados (Fortra) |
| Extensões de anexo | .htm, .xhtml, .svg |
| Registo do domínio | 16 de março (indicia infraestrutura de vida curta) |
| Junho de 2026 | Publicação da análise da Fortra que nomeia o kit |
| Agosto de 2026 | Relatório da ANY.RUN quantifica a operação |
A Fortra identificou vários indicadores associados à campanha, incluindo os domínios cheacker[.]store e user.cheacker[.]store, um endereço IP e recursos JavaScript. O registo do domínio a 16 de março sugere que foi criado para uma campanha de curta duração — motivo pelo qual bloquear domínios conhecidos, isoladamente, resolve pouco.
Mitigações concretas: o MFA já não é o fim da linha
A recomendação da própria Fortra vai além do bloqueio de indicadores. As equipas de segurança devem validar o endpoint de exfiltração dentro do JavaScript de segunda fase, determinar se existem domínios ou variantes adicionais da campanha, identificar utilizadores afetados e publicar deteções que cubram tanto os indicadores confirmados como o comportamento mais amplo. Do lado da plataforma, as orientações da Microsoft para ataques AiTM apontam para o reforço da camada de identidade.
- Migrar para MFA resistente a phishing: métodos sem palavra-passe como Windows Hello, chaves FIDO ou o Microsoft Authenticator, com políticas de acesso condicional dirigidas ao reforço das contas privilegiadas. Métodos ligados ao dispositivo retiram valor ao proxy do atacante.
- Acesso condicional baseado em risco: a Microsoft recomenda complementar o MFA com políticas de acesso condicional baseadas em risco, que avaliam sinais como localização do IP ou estado do dispositivo e ajudam a mitigar a repetição de tokens e o sequestro de sessão típicos das campanhas AiTM.
- Proteção de tokens: quando as credenciais deixam de ser facilmente phishable, os atacantes passam a tentar exfiltrar tokens; a proteção de tokens mitiga esse risco ao vinculá-los ao hardware do dispositivo a que foram emitidos.
- Contenção automática: a interrupção automática de ataques no Microsoft Defender XDR foi concebida para conter ataques em curso, limitar o impacto nos ativos e dar tempo às equipas de segurança para remediar.
- Tratar o incidente como problema de identidade: detetar o ataque antes de as sessões roubadas serem reutilizadas permite conter a tomada de conta mais cedo e reduzir o impacto no negócio. Na prática: revogar sessões, forçar novo registo de MFA, auditar regras de caixa de correio e aplicações consentidas.
Porque é que isto importa em Portugal
O Microsoft 365 é a espinha dorsal digital de uma grande fatia das PME e entidades públicas portuguesas. Um único cookie de sessão roubado pode abrir a porta a fraude no pagamento a fornecedores, phishing interno a partir de um remetente legítimo e acesso a ficheiros do SharePoint e do OneDrive — sem que nenhum alerta de “palavra-passe comprometida” seja acionado. Como sublinha a análise, um único ataque bem-sucedido pode levar a comprometimento de correio eletrónico, personificação, exposição de dados e acesso adicional através de uma identidade legítima de utilizador.
Do ponto de vista legal, um acesso indevido a caixas de correio corporativas é, quase sempre, uma violação de dados pessoais com deveres de avaliação e eventual notificação à CNPD e aos titulares, nos termos do RGPD. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), acresce a obrigação de gestão de risco e de comunicação de incidentes significativos ao CNCS, o que torna a autenticação forte e a gestão de sessões matéria de conformidade e não apenas de boas práticas. O CERT.PT continua a ser o canal de referência para reportar campanhas de phishing e incidentes em Portugal, e a partilha de indicadores é o que permite antecipar variantes de kits que, como este, mudam de domínio em poucos dias.
A mensagem prática para gestores e responsáveis de TI é direta: a pergunta deixou de ser “temos MFA ativo?” e passou a ser “que tipo de MFA temos e quanto tempo vive uma sessão autenticada na nossa organização?”.
Perguntas frequentes
O MFA por aplicação autenticadora protege contra o Mirage2FA?
Não totalmente. O kit reencaminha em tempo real o utilizador, a palavra-passe e o código de uso único para o serviço legítimo da Microsoft, capturando também o cookie de sessão autenticado. Só métodos ligados ao dispositivo, como FIDO2, passkeys ou Windows Hello, retiram utilidade ao proxy do atacante.
Como chegam estas mensagens à caixa de entrada?
A entrega é feita por e-mails com anexos .htm, .xhtml ou .svg, ou por ligações em código QR, tendo sido observada distribuição em escala através do Amazon SES. Os temas usados nas mensagens incluem documentos seguros, serviços de remessa, faturação automática e fluxos de pagamento.
Houve vítimas confirmadas em Portugal?
As fontes consultadas não divulgam dados específicos para Portugal. A telemetria disponível indica 63,7% das vítimas identificadas nos Estados Unidos, com atividade registada em 94 países, pelo que a exposição europeia existe, mas não está quantificada por país nas fontes primárias.
O que fazer se suspeitar que um colaborador foi vítima?
Revogar de imediato as sessões ativas e as credenciais, verificar regras de reencaminhamento e aplicações consentidas e investigar acessos anómalos. A Fortra recomenda ainda validar o endpoint de exfiltração, procurar variantes e domínios adicionais, identificar utilizadores afetados e criar deteções comportamentais. Em Portugal, o incidente deve ser reportado ao CERT.PT e avaliado à luz do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Fortra (equipa FIRE), pela ANY.RUN e em orientações técnicas da Microsoft.