){kind=link}
Os ataques em “password spraying” (pulverização de senhas) registraram um salto de 155 vezes no primeiro semestre de 2026 em comparação com períodos anteriores – um aumento de 15.400%. O alerta parte de uma análise divulgada no dia 30 de junho e atualizada nos dois meses seguintes pela empresa de segurança cibernética Huntress Labs. O levantamento identificou uma tática articulada por invasores para contornar barreiras tradicionais e acessar redes corporativas sem acionar os alarmes usuais de segurança.
A pulverização de senhas funciona sob a tática do “baixo e devagar”, ao contrário do método clássico usado por cibercriminosos, no qual um robô tenta milhares de combinações contra uma única conta até travá-la. O invasor reúne uma lista de nomes de funcionários e testa poucas senhas comuns, como “123456”, combinações com o nome da firma ou termos sazonais inspirados nas estações do ano. Como a tentativa ocorre de forma espaçada e distribuída por vários logins, o sistema de defesa não identifica um ataque concentrado e deixa a porta aberta.
smart_display
Nossos vídeos em destaque
O principal motor desse crescimento foi uma campanha voltada ao Azure CLI, um painel em modo texto que equipes de tecnologia usam para administrar serviços e servidores na nuvem da Microsoft. Em um intervalo de menos de duas semanas, entre 12 e 26 de junho, os analistas da Huntress mapearam mais de 81 milhões de tentativas de conexão ligadas ao grupo, com 78 contas corporativas violadas em 64 empresas.
Para romper as defesas, os invasores cruzaram listas antigas de senhas vazadas na internet com uma porta de entrada obsoleta conhecida como Resource Owner Password Credentials (ROPC). Esse protocolo antigo foi criado para facilitar a transição de programas antigos para a internet moderna, porém não possui suporte para telas interativas de autenticação em duas etapas. Quando a senha coincide, o sistema libera a entrada direta sem pedir a segunda confirmação no celular do usuário.
No relatório técnico da investigação, a equipe da Huntress detalhou a gravidade dessa brecha: “A maioria dessas organizações tinha políticas de acesso condicional, mas a forma como foram configuradas não cobria as técnicas utilizadas pelos criminosos nesta campanha. Protocolos antigos como o ROPC conseguem contornar totalmente regras mal configuradas, já que não passam pelos pontos de checagem onde as barreiras de segurança são aplicadas”, analisou.
Brechas nas regras de proteção
Ao analisar a fragilidade do método que permite essa entrada direta, Andrew Brandt, especialista principal de inteligência e resposta a incidentes da Huntress, explicou o risco: “Mesmo que a gente chame isso de método de autorização, tecnicamente trata-se de um método de impersonação. O invasor não pede permissão para entrar como um visitante autorizado, ele simplesmente assume a identidade do usuário e passa direto”, descreveu.
A apuração técnica revelou que a verificação em duas etapas ativada não garantiu a segurança de grande parte das vítimas. No pico dos ataques, em 22 de junho, a empresa examinou 23 negócios atingidos e descobriu que oito deles não tinham nenhuma camada de dupla proteção instalada.
Nas outras 15 empresas, a autenticação em duas etapas estava presente, mas continha furos na configuração. Em alguns casos, a regra protegia apenas diretores e administradores, o que deixou os funcionários comuns desprotegidos. Em outros, o sistema exigia o segundo fator nos portais administrativos gerais, mas esqueceu de cobrir os painéis remotos de comando da nuvem.
)
Houve ainda redes programadas para ignorar a checagem em conexões consideradas locais de confiança, brecha que os invasores driblaram ao disfarçar a localização dos computadores. Em alguns ambientes, a proteção ficou apenas em modo de teste e nunca foi ativada na prática para barrar invasões.
Diante desse cenário, Rich Mozeleski, gerente de produtos da Huntress, alertou para a necessidade de vigilância constante e calibração precisa dessas defesas corporativas.
“O acesso condicional adequadamente configurado e gerenciado é um superpoder. O problema é que ajustar essas regras sem bloquear os funcionários legítimos no dia a dia é um desafio grande, e essa dificuldade é exatamente o motivo pelo qual a tática dos criminosos continua funcionando”, pontuou ele.
As conexões partiram inicialmente de endereços de rede fornecidos pela empresa LSHIY LLC. Após alertas da Huntress, a operadora cancelou os contratos dos invasores. No entanto, o grupo simplesmente transferiu a estrutura para outros servidores de internet e continuou os disparos.
Como os criminosos trocam de rota rapidamente para driblar bloqueios pontuais, os especialistas em segurança reforçam que a única saída definitiva é fechar as brechas internas: desativar de vez protocolos antigos de login, cortar o acesso a painéis de controle para funcionários que não precisam deles e exigir a verificação em duas etapas para todos os usuários e programas, sem exceções.
Por falar em universo digital, a Meta promoveu anúncios de app que promete criar falsas fotos íntimas de mulheres com IA. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.