A própria Microsoft confirmou, em seu blog oficial de segurança, uma campanha de phishing que consegue algo raro: acessar caixas de e-mail, arquivos do OneDrive e conversas do Teams sem nunca roubar a senha da vítima e sem disparar nenhum alerta da verificação em duas etapas. O golpe é chamado de device code phishing (phishing de código de dispositivo) e já tem variante confirmada no Brasil pela Kaspersky. Entenda como ele funciona e por que é tão difícil de perceber.
Resposta rápida
O device code phishing engana a vítima para autorizar, sem perceber, o login do golpista numa conta Microsoft. A vítima faz login de verdade, na página real da Microsoft, com sua própria senha e sua própria verificação em duas etapas, mas o código que ela digita libera o acesso do criminoso, não o seu. Nunca digite um código de acesso que você não pediu.
O essencial
- O que é: phishing que abusa do “código de dispositivo” do login Microsoft
- O que rouba: acesso a e-mail, OneDrive e Teams, não a senha
- Por que engana até quem usa duas etapas: a vítima completa o login normalmente
- Confirmado: Microsoft (campanha com IA, abril/2026) e Kaspersky (variante Brasil)
Como funciona o golpe do código de dispositivo
O golpe abusa de um recurso legítimo do login da Microsoft chamado fluxo de código de dispositivo, criado para aparelhos sem teclado ou navegador completo, como smart TVs e impressoras: em vez de digitar a senha no próprio aparelho, você acessa um site em outro dispositivo e digita um código para autorizar o login. É exatamente esse mecanismo, pensado para ser prático, que o golpista sequestra.
- O isco chega por e-mail, quase sempre disfarçado de fatura, proposta comercial ou aviso de escritório, com um anexo em PDF ou um link.
- A vítima abre o documento e vê uma mensagem dizendo que o arquivo está protegido e exige um “código de validação” para ser aberto.
- Nos bastidores, o golpista já iniciou um pedido real de login por código de dispositivo junto à própria Microsoft, e recebe de volta um código de uso único, válido por poucos minutos.
- Esse código é exibido na página falsa como se fosse a chave para destravar o documento.
- A vítima é levada até a página oficial de login da Microsoft (essa parte é real) e digita ali o código, além de fazer login normalmente com sua própria senha e sua verificação em duas etapas.
- Ao concluir, a vítima autoriza sem saber a sessão do golpista, que recebe os tokens de acesso e passa a ler e enviar e-mails, abrir arquivos do OneDrive e ver conversas do Teams da conta invadida.
O detalhe mais perigoso é justamente esse: como o login acontece na página verdadeira da Microsoft, não existe um site falso capturando a senha para você desconfiar. A verificação em duas etapas também é cumprida de verdade, só que autoriza o dispositivo errado.
A variante flagrada no Brasil
Segundo a análise técnica publicada pela Kaspersky no Securelist, o mesmo grupo por trás da campanha adaptou o golpe para diferentes regiões, incluindo uma versão voltada a usuários no Brasil. Em vez do PDF anexado, o e-mail brasileiro trazia um link através do cacoo.com, uma ferramenta legítima de diagramas da empresa Nulab, usada apenas como intermediária para disfarçar o redirecionamento até a página de phishing. A engenharia é a mesma: código exibido, vítima levada à Microsoft de verdade, sessão do golpista autorizada.
A análise da própria Microsoft sobre a campanha, publicada em abril de 2026, mostra que uma versão mais recente do golpe usa inteligência artificial generativa para escrever e-mails de phishing personalizados de acordo com a função de cada vítima (financeiro, diretoria, compras), regenerar o código antes que ele expire em 15 minutos e distribuir a infraestrutura de coleta em servidores descartáveis, dificultando o bloqueio. O alvo preferido são cargos financeiros, executivos e administrativos, que abrem caminho para o restante da empresa.
Por que a verificação em duas etapas não barra esse golpe
A verificação em duas etapas comum (código por SMS, aplicativo autenticador ou notificação no celular) protege contra quase todo roubo de senha, mas não contra este golpe específico, porque é a própria vítima quem completa essa etapa, corretamente, durante o ataque. O segundo fator confirma que é você fazendo login, só que não confirma em qual dispositivo essa sessão vai ficar autorizada, e é exatamente essa lacuna que o golpe explora.
As defesas que realmente travam esse tipo de golpe usam um segundo fator que também verifica o dispositivo: chaves físicas de segurança (padrão FIDO) ou uma passkey configurada no aplicativo Microsoft Authenticator. Ative pelo menos o Authenticator com passkey se sua conta permitir.
Sinais de alerta
| Sinal | Por que desconfiar |
|---|---|
| Documento “protegido” pede um código para abrir | A Microsoft não usa código de dispositivo para liberar a leitura de um PDF |
| Você é levado a copiar um código e colar em outra página | É exatamente o mecanismo que o golpe sequestra |
| E-mail de fatura, proposta ou RFP fora do padrão da empresa | É o isco mais comum da campanha, inclusive com textos gerados por IA |
| O link passa por um site de terceiro antes da Microsoft | Serve para disfarçar o redirecionamento até a página falsa |
| Você não pediu nenhum login em outro aparelho | Se ninguém iniciou o processo, não existe código legítimo para digitar |
Como se proteger
Para o usuário comum, a defesa não exige nada técnico, exige desconfiança do gatilho certo:
- Nunca digite um código de acesso que você não pediu, mesmo que a página que pede pareça a da Microsoft de verdade.
- Desconfie de “documento protegido” que só abre depois de um código: não é assim que arquivos comuns funcionam.
- Confira o link antes de clicar: se ele passa por um serviço de terceiro que nada tem a ver com o remetente, é sinal de redirecionamento suspeito.
- Ative uma passkey no Microsoft Authenticator, que verifica o dispositivo além do código.
- Revise o histórico de login da sua conta de vez em quando em account.microsoft.com/security.
Se você administra uma empresa no Microsoft 365
A própria Microsoft recomenda bloquear o fluxo de código de dispositivo sempre que a empresa não depender dele para algum sistema legado. O caminho oficial é uma política de Acesso Condicional no Microsoft Entra ID, descrita passo a passo na documentação da Microsoft sobre como bloquear fluxos de autenticação por política de Acesso Condicional. Some a isso a checagem de regras de encaminhamento automático de e-mail suspeitas, criadas pelo golpista para continuar lendo mensagens mesmo depois de a vítima trocar a senha.
O que isso significa para você
Se você é um usuário comum, a lição prática é simples: um código que a Microsoft pede para você digitar só é legítimo se você mesmo começou aquele login em outro aparelho. Nenhum documento, fatura ou verificação de arquivo depende disso. Já se você administra contas de uma empresa, o golpe é motivo para revisar se o fluxo de código de dispositivo está mesmo em uso, porque a orientação da própria fabricante é bloqueá-lo por padrão.
🔗 Leia também
Perguntas frequentes
Recebi um e-mail pedindo para eu digitar um código no site da Microsoft. É golpe?
Pode ser. Só desconfie de verdade quando o e-mail pedir que você copie um código de um documento, fatura ou “verificação” e cole numa página de login que o próprio e-mail te levou até ela. A Microsoft nunca gera um código de acesso que você precisa “resgatar” para abrir um arquivo. Se não foi você quem iniciou o login em outro aparelho, não digite o código.
O golpe rouba minha senha?
Não. Essa é a parte mais perigosa dele: o golpista nunca vê sua senha nem seu código de verificação em duas etapas. Ele engana você para autorizar, sem saber, o dispositivo dele como se fosse seu. Quem fizer login normalmente, com a própria senha e o próprio segundo fator, está sem querer liberando o acesso do golpista.
A verificação em duas etapas me protege desse golpe?
Não impede sozinha. Como você mesmo completa a verificação em duas etapas durante o golpe (ela é real, só que autoriza a sessão errada), o segundo fator comum não barra esse ataque. As formas que realmente travam esse tipo de golpe são chaves físicas de segurança (FIDO) ou passkey pelo aplicativo Microsoft Authenticator, que confirmam também o dispositivo, não só o código.
O golpe é só no Microsoft 365 (empresa) ou afeta conta pessoal também?
A campanha documentada pela Microsoft mirou principalmente contas corporativas do Microsoft 365, sobretudo de cargos financeiros, executivos e administrativos, porque abrem caminho para e-mail, OneDrive e Teams de uma empresa inteira. O mecanismo do golpe, porém, é do login da Microsoft de forma geral: qualquer conta que use esse tipo de autorização pode, em teoria, ser alvo.
O aviso de "atividade de entrada incomum" da Microsoft é esse golpe?
Não é a mesma coisa. Esse aviso é um alerta legítimo da própria Microsoft quando o sistema percebe um login fora do padrão, e serve justamente para você perceber um golpe como este. O problema está no e-mail ou link que te leva a autorizar um código sem perceber, não no aviso de segurança em si.
Como eu percebo que fui vítima desse golpe?
Verifique o histórico de atividades da sua conta em account.microsoft.com/security, procurando por logins ou aparelhos que você não reconhece. Vale também checar, no Outlook, se existe alguma regra de encaminhamento automático de e-mail que você não criou: é um truque comum para o golpista continuar lendo suas mensagens depois.
O que eu faço se digitei um código sem querer?
Entre em account.microsoft.com/security e revogue as sessões e os aplicativos conectados que não reconhece. Troque a senha mesmo sem ela ter sido exposta, por segurança extra, e refaça a verificação em duas etapas. Se for conta de trabalho, avise o time de TI na mesma hora.
Esse golpe já foi confirmado no Brasil?
Sim. Pesquisadores da Kaspersky documentaram uma variante direcionada a usuários no Brasil, que troca o anexo em PDF por um link através de um site legítimo de diagramas (cacoo.com) para disfarçar o redirecionamento até a página falsa.
