Account takeover: o que acontece quando uma conta é comprometida

Account takeover é o termo usado para descrever a tomada de controle de uma conta legítima por uma pessoa não autorizada. Em ambientes corporativos, o ataque pode começar pelo roubo de uma senha, mas seus efeitos dificilmente ficam restritos ao acesso inicial.

A partir de uma conta comprometida, criminosos podem ler conversas, consultar arquivos, acompanhar negociações, enviar mensagens em nome do usuário e tentar acessar outros serviços conectados à mesma identidade. Em alguns casos, a conta também serve como ponto de partida para atingir outros colaboradores e ampliar o acesso dentro da organização.

O problema se torna ainda mais difícil de identificar porque as ações são realizadas por uma identidade válida. Para sistemas, colegas, clientes e fornecedores, o usuário aparentemente continua sendo quem sempre foi.

Neste artigo, você vai entender o que é account takeover, como esse tipo de ataque acontece, quais são seus impactos e quais sinais podem indicar que uma conta corporativa foi comprometida.

O que é account takeover?

Account takeover, também chamado de ATO ou tomada de conta, ocorre quando um criminoso consegue utilizar uma conta que pertence a outra pessoa.

Em uma empresa, essa conta pode estar associada ao e-mail corporativo, Microsoft 365, Google Workspace, sistemas financeiros, plataformas de armazenamento, ferramentas de colaboração, ambientes de desenvolvimento ou aplicações utilizadas internamente.

O acesso pode acontecer por meio de uma senha roubada, de um token de sessão, de uma autorização concedida a um aplicativo malicioso ou de outras formas de comprometimento da identidade.

A partir daí, o criminoso passa a operar como um usuário aparentemente legítimo. Contas válidas podem ser utilizadas para obter acesso inicial, manter persistência, ampliar privilégios e evitar mecanismos de detecção baseados somente em malware ou em endereços desconhecidos.

Account takeover, spoofing e BEC são a mesma coisa?

Os conceitos estão relacionados, mas não representam exatamente o mesmo ataque.

No spoofing, o endereço do remetente é falsificado para fazer uma mensagem parecer legítima. O criminoso não precisa controlar a conta real.

No account takeover, existe acesso efetivo à conta. O invasor pode ler mensagens, acessar dados e enviar e-mails diretamente do endereço verdadeiro.

Já o Business Email Compromise, conhecido como BEC, é uma fraude direcionada que utiliza engenharia social para induzir pagamentos, alterar dados bancários ou obter informações. Um ataque BEC pode usar spoofing, domínios semelhantes ou uma conta realmente comprometida.

O phishing interno também pode ser uma consequência do account takeover. Depois de assumir uma conta, o criminoso envia mensagens maliciosas para colegas, parceiros ou fornecedores que reconhecem e confiam naquele remetente.

Proteja o e-mail corporativo com a HSC Labs

Como criminosos conseguem acesso a contas corporativas

O comprometimento pode começar de diferentes formas. Algumas exploram diretamente o comportamento do usuário. Outras procuram falhas nos mecanismos de autenticação ou utilizam credenciais que já foram expostas anteriormente.

1. Páginas falsas para roubo de credenciais

Uma das formas mais comuns de account takeover é o phishing direcionado ao roubo de login e senha. O usuário recebe um e-mail que simula uma comunicação do Microsoft 365, Google Workspace ou de outro serviço utilizado pela empresa.

Ao clicar no link, ele é levado a uma página semelhante à original. As credenciais informadas são enviadas ao criminoso, que pode utilizá-las imediatamente para acessar a conta corporativa.

2. Uso de credenciais vazadas

Credenciais vazadas em outros serviços também podem ser testadas contra contas corporativas.

Esse método funciona principalmente quando o usuário reutiliza a mesma senha em diferentes plataformas. Caso uma dessas plataformas sofra um vazamento, a combinação de e-mail e senha pode ser usada em tentativas automatizadas de acesso a outros sistemas.

Os criminosos também podem utilizar password spraying, técnica em que poucas senhas comuns são testadas contra muitas contas. Com menos tentativas por usuário, o ataque procura evitar bloqueios automáticos e reduzir a geração de alertas.

3. Violação da autenticação multifator

A autenticação multifator reduz significativamente o risco de uso indevido de senhas roubadas, mas sua configuração e o método utilizado fazem diferença.

Em ataques de MFA fatigue, por exemplo, o usuário recebe diversas solicitações de aprovação até aceitar uma delas por engano ou para interromper as notificações.

Há também campanhas de adversary-in-the-middle, nas quais uma página falsa intercepta credenciais e códigos de autenticação. Outros ataques procuram roubar tokens ou códigos de autorização que permitem representar o usuário sem solicitar novamente a senha e o segundo fator.

Por isso, a presença de MFA deve ser acompanhada por políticas de acesso, análise de risco e, sempre que possível, métodos resistentes a phishing.

4. Aplicativos e autorizações maliciosas

O comprometimento nem sempre exige que a senha seja descoberta.

O usuário pode ser induzido a autorizar um aplicativo malicioso a acessar e-mails, arquivos, contatos ou calendários. Depois que a permissão é concedida, o aplicativo pode continuar acessando informações por meio de tokens autorizados.

Nesses casos, trocar a senha pode não ser suficiente. Também é necessário revisar aplicativos conectados, permissões concedidas e sessões ativas.

O que acontece depois que uma conta é comprometida

O comportamento do criminoso depende do objetivo do ataque e do nível de acesso obtido. Em muitos casos, ele evita agir imediatamente.

Primeiro, acompanha a rotina do usuário. Lê mensagens, identifica contatos frequentes, entende como os processos funcionam e procura oportunidades que possam ser exploradas com menor chance de levantar suspeitas.

Uma caixa de e-mail pode revelar quem aprova pagamentos, quais fornecedores estão em negociação, como os gestores se comunicam, quais documentos circulam internamente e quais plataformas fazem parte do trabalho diário.

Criação de regras para ocultar a atividade

Uma prática recorrente é criar regras automáticas na caixa de entrada.

Essas regras podem encaminhar mensagens para endereços externos, mover determinados e-mails para pastas pouco acessadas, marcar mensagens como lidas ou excluir respostas que poderiam alertar o usuário.

O criminoso também pode configurar uma regra específica para mensagens que contenham termos como “pagamento”, “nota fiscal”, “contrato” ou “dados bancários”. Assim, consegue acompanhar uma negociação sem que o titular perceba.

Persistência após a troca da senha

Outro objetivo é preservar o acesso pelo maior tempo possível.

Tokens de sessão, aplicativos autorizados, regras de encaminhamento e métodos de recuperação alterados podem permitir que a atividade continue mesmo depois de uma troca de senha.

Por isso, a resposta a um account takeover deve considerar toda a identidade digital. Limitar a ação à redefinição da senha pode deixar outros caminhos abertos.

Movimentação lateral

Depois de comprometer uma conta, o criminoso pode utilizá-la para atingir outros usuários e sistemas da empresa. Esse avanço para novos recursos é conhecido como movimentação lateral.

A conta invadida pode enviar mensagens de phishing interno, solicitar informações ou tentar alcançar usuários com permissões mais elevadas. Como o contato parte de uma identidade conhecida, as novas abordagens tendem a enganar mais facilmente os demais usuários e os mecanismos de segurança.

Uso indevido do e-mail corporativo

A caixa postal pode ser utilizada para enviar phishing, distribuir arquivos maliciosos, solicitar informações ou iniciar fraudes contra colegas e terceiros.

Como as mensagens saem de uma conta conhecida, os destinatários tendem a confiar mais no conteúdo. O ataque pode atingir a própria empresa, sua cadeia de fornecedores e seus clientes.

Além do prejuízo imediato, a organização pode ter de investigar todas as mensagens enviadas durante o período de comprometimento e comunicar pessoas que tenham interagido com o criminoso.

Acesso a arquivos e informações

Contas do Microsoft 365 e Google Workspace normalmente estão conectadas a ferramentas de armazenamento, edição de documentos, agendas, videoconferência e colaboração.

O comprometimento pode expor contratos, informações financeiras, documentos internos, dados pessoais, apresentações estratégicas e conversas mantidas entre equipes.

Dependendo das permissões, o criminoso também pode copiar arquivos, alterar documentos, criar novos compartilhamentos ou excluir informações.

Fraudes financeiras

Contas de gestores, diretores e profissionais do setor financeiro são especialmente atrativas.

Depois de acompanhar uma negociação, o criminoso pode inserir uma solicitação falsa de pagamento, trocar os dados bancários de um fornecedor ou pedir uma transferência com justificativa aparentemente coerente.

O ataque também pode utilizar a conta de um fornecedor comprometido. Nesse caso, a solicitação chega pelo endereço correto e pode fazer parte de uma conversa já conhecida pela equipe financeira.

Comprometimento da identidade corporativa

Uma conta representa mais do que um meio de acesso. Ela também representa a identidade profissional do usuário.

Mensagens, aprovações e solicitações feitas a partir desse endereço podem ser interpretadas como ações legítimas. Isso afeta a confiança entre equipes, parceiros e clientes.

Quanto maior o nível de responsabilidade da conta, maior tende a ser o alcance do incidente.

Principais sinais de conta comprometida

Alterações nos padrões de acesso

Entre os sinais que merecem investigação estão logins a partir de países ou regiões incomuns, dispositivos não reconhecidos, acessos em horários incompatíveis com a rotina do usuário e sucessivas falhas seguidas por uma autenticação bem-sucedida.

Mudanças inesperadas nos métodos de MFA, nas informações de recuperação ou nos aplicativos autorizados também devem ser verificadas.

Um evento isolado nem sempre confirma o comprometimento. A combinação de diferentes sinais aumenta a capacidade de identificar uma atividade realmente anormal.

Modificações na caixa de e-mail

Regras de encaminhamento desconhecidas, mensagens enviadas pelo usuário sem seu conhecimento, alterações na assinatura e e-mails movidos ou apagados automaticamente são indicadores relevantes de contas comprometidas.

Uma recomendação é revisar regras da caixa de entrada, encaminhamentos externos, mensagens enviadas, permissões da conta e atividades realizadas pelo usuário durante a investigação de uma caixa postal comprometida. Também é importante observar respostas inesperadas de colegas e fornecedores. Perguntas sobre mensagens que o titular não reconhece podem ser o primeiro sinal visível do ataque.

Comportamentos de e-mail fora do padrão

Uma conta pode começar a enviar um volume incomum de mensagens, abordar destinatários com os quais raramente se comunica ou utilizar termos diferentes do comportamento habitual do usuário.

Outros sinais incluem solicitações financeiras fora do fluxo, mudanças repentinas de tom, envio de links pouco usuais e mensagens destinadas a grupos específicos, como financeiro, recursos humanos ou TI.

Esses comportamentos dificilmente são identificados apenas pela reputação do endereço, já que o remetente é legítimo. A análise precisa considerar contexto, relacionamento entre usuários e histórico de comunicação.

O que fazer quando uma conta é comprometida

A resposta deve interromper o acesso do criminoso e avaliar tudo o que pode ter sido alcançado durante o período de comprometimento.

As principais medidas incluem:

Bloquear temporariamente a conta ou restringir o acesso.
Redefinir a senha e confirmar que ela não está sendo utilizada em outros serviços.
Revogar sessões, tokens e cookies de autenticação existentes.
Revisar regras da caixa postal, encaminhamentos, delegações e aplicativos autorizados.
Verificar mudanças em métodos de MFA e informações de recuperação.
Analisar logs de acesso, mensagens enviadas, arquivos consultados e permissões utilizadas.
Procurar tentativas de phishing ou movimentação lateral contra outros usuários.
Comunicar pessoas que possam ter recebido mensagens ou solicitações fraudulentas.
Preservar os registros necessários para a investigação do incidente.

Também é necessário identificar como o acesso aconteceu. Sem corrigir a causa inicial, a conta pode ser comprometida novamente.

Como reduzir o risco de account takeover

A prevenção começa com a proteção da identidade, mas também depende da capacidade de reconhecer o que acontece depois que uma autenticação válida é utilizada.

Senhas únicas, gerenciamento adequado de credenciais, autenticação multifator resistente a phishing, políticas de acesso condicional e revisão periódica de permissões ajudam a reduzir as oportunidades de invasão.

Contas administrativas devem receber controles adicionais. O acesso privilegiado precisa ser limitado, acompanhado e separado das atividades rotineiras sempre que possível.

A empresa também deve monitorar sessões, aplicativos autorizados, regras de encaminhamento, alterações de MFA e comportamentos anormais de acesso.

No e-mail, a análise precisa ir além de domínio, IP, autenticação e reputação. Uma conta legítima pode estar enviando uma mensagem maliciosa. Nesse caso, o contexto e o comportamento do remetente se tornam sinais importantes.

Como o MailInspector ajuda a identificar ameaças enviadas por contas legítimas

O MailInspector, solução de segurança de e-mail da HSC Labs distribuída pela Oblock, utiliza inteligência artificial e diferentes camadas de análise para identificar phishing, BEC e outras ameaças direcionadas.

A plataforma avalia o conteúdo, o contexto e o comportamento do remetente. Assim, pode detectar mensagens incompatíveis com o histórico da conta, mesmo quando elas são enviadas por um endereço legítimo.

A solução também oferece recursos para identificar comportamentos típicos de account takeover, como situações atípicas de login e alterações de regras em caixas de entrada.

Fale com a Oblock e agende uma demonstração.