Em 2026, a KnowBe4 identificou uma campanha de phishing que utiliza o Microsoft 365 para enviar e-mails maliciosos, afetando empresas brasileiras. Os atacantes exploram o recurso Direct Send do Microsoft 365, facilitando a disseminação de e-mails sem autenticação. Empresas nos setores financeiro e de tecnologia estão especialmente vulneráveis, com riscos de comprometimento de dados sensíveis. Profissionais de TI no Brasil precisam agir rapidamente para mitigar esses ataques, que ocorrem durante o horário comercial do leste dos EUA. A LGPD exige que empresas protejam dados pessoais, sob pena de multas severas em caso de vazamento. Ignorar essa ameaça pode resultar em danos financeiros e reputacionais significativos. Este artigo detalha como a campanha opera, os horários preferidos pelos hackers e as medidas de proteção eficazes. Você aprenderá a implementar práticas de segurança e conscientização para proteger sua organização contra phishing no Microsoft 365.

Como a campanha de phishing utiliza o Microsoft 365 para disseminar e-mails maliciosos

Em 2026, a KnowBe4 observou uma nova campanha de phishing que utiliza o Microsoft 365 para enviar e-mails maliciosos. Empresas brasileiras que utilizam o Microsoft 365 estão sob risco crescente devido à popularidade da plataforma. No IBSEC, enfatizamos a importância de entender como os invasores exploram ferramentas corporativas comuns. Nesta campanha, os atacantes utilizam o recurso Direct Send do Microsoft 365 para distribuir e-mails sem passar por filtros de segurança tradicionais. Isso permite que e-mails de phishing cheguem diretamente às caixas de entrada dos funcionários, aumentando as chances de sucesso dos ataques.

O Direct Send é uma funcionalidade do Microsoft 365 que facilita o envio de e-mails em massa, frequentemente utilizado por empresas para comunicação interna e externa. Muitas organizações no Brasil adotaram o Microsoft 365 para melhorar a colaboração, o que inadvertidamente as torna alvos atraentes. No IBSEC, destacamos que a segurança das ferramentas de comunicação deve ser uma prioridade para prevenir comprometimentos. Os atacantes configuram o Direct Send para enviar e-mails de phishing que parecem legítimos, confundindo os filtros de segurança e os próprios usuários. Isso sublinha a necessidade de configurações de segurança mais robustas e monitoramento contínuo.

Além do uso do Direct Send, os hackers personalizam os e-mails para parecerem comunicações internas ou de parceiros confiáveis. Empresas brasileiras, onde a confiança nas comunicações digitais é alta, podem ser particularmente afetadas por esse tipo de ataque. No IBSEC, ensinamos que a análise crítica de e-mails recebidos é essencial para identificar potenciais ameaças. Os e-mails maliciosos frequentemente contêm links ou anexos que, ao serem clicados, instalam malware ou coletam credenciais dos usuários. A sofisticação desses ataques exige que as empresas estejam sempre um passo à frente, implementando medidas de segurança avançadas e treinando seus funcionários regularmente.

O sucesso dessa campanha de phishing também se deve à falta de autenticação multifator (MFA) em muitas implementações do Microsoft 365. A adoção de MFA no Brasil ainda está em crescimento, mas é uma camada crítica de segurança que pode prevenir acessos não autorizados. No IBSEC, promovemos a implementação de MFA como uma prática padrão de segurança. Sem MFA, os atacantes podem facilmente comprometer contas apenas com credenciais de login, obtidas por meio de phishing. Isso destaca a importância de mais controles de segurança e conscientização sobre práticas seguras de login.

A campanha de phishing também explora vulnerabilidades conhecidas em configurações padrão do Microsoft 365. Empresas brasileiras que não personalizam suas configurações de segurança correm maior risco. No IBSEC, incentivamos a revisão e a personalização das configurações de segurança como parte de uma estratégia de defesa em profundidade. Os atacantes tiram vantagem de configurações padrão e da falta de monitoramento ativo para infiltrar-se em sistemas corporativos. Essa prática reforça a necessidade de auditorias regulares e ajustes nas políticas de segurança para mitigar riscos emergentes.

Por que os hackers preferem o horário comercial do leste dos EUA para ataques

Hackers preferem realizar ataques de phishing durante o horário comercial do leste dos EUA para maximizar a eficácia de suas campanhas. Empresas brasileiras que operam em fusos horários semelhantes podem ser particularmente vulneráveis durante essas janelas de tempo. No IBSEC, analisamos padrões de ataque para ajudar as empresas a ajustar suas defesas de acordo. O horário comercial do leste dos EUA coincide com o período em que muitos profissionais estão ativos online, aumentando a probabilidade de engajamento com e-mails maliciosos. Isso permite que os atacantes aproveitem o fluxo natural de e-mails e atividades de trabalho para camuflar suas ações.

Os atacantes também escolhem esses horários para explorar a sobrecarga de trabalho e a distração dos funcionários. No Brasil, onde a carga de trabalho é frequentemente intensa, os funcionários podem não estar totalmente atentos aos detalhes dos e-mails recebidos. No IBSEC, reforçamos a importância de práticas de segurança consistentes, mesmo durante períodos de alta demanda de trabalho. Durante o horário comercial, os funcionários podem estar mais propensos a clicar em links suspeitos devido à pressa ou a um senso de urgência induzido por e-mails de phishing. Isso destaca a necessidade de programas de treinamento contínuos que ensinem os funcionários a identificar e responder adequadamente a tentativas de phishing.

A coincidência com o horário de operação dos centros de suporte técnico também é um fator. Muitas empresas brasileiras contam com suporte técnico localizado em fusos horários semelhantes ao leste dos EUA. No IBSEC, aconselhamos a implementação de políticas de segurança que considerem essas sincronicidades. Os hackers podem explorar essa infraestrutura para realizar ataques que passam despercebidos enquanto as equipes de suporte estão sobrecarregadas. Isso enfatiza a necessidade de integração entre segurança de TI e operações de suporte para detectar e mitigar ameaças rapidamente.

Além disso, o horário comercial do leste dos EUA permite que os hackers sincronizem suas atividades com mercados financeiros e outras operações críticas. Empresas brasileiras que participam de mercados globais podem ser significativamente impactadas por essa sincronização. No IBSEC, destacamos a importância de ajustar as estratégias de segurança para acomodar essas variáveis. A sincronização com operações financeiras pode aumentar o impacto de ataques de phishing, potencialmente comprometendo transações ou acessos a sistemas sensíveis. Isso requer uma abordagem de segurança que considere não apenas a proteção de dados, mas também a continuidade dos negócios.

Finalmente, a escolha do horário reflete uma estratégia de maximizar a cobertura e a dispersão dos ataques. No Brasil, onde a conectividade digital é alta, essa estratégia pode ter um impacto considerável. No IBSEC, defendemos a adoção de monitoramento proativo e análise de tráfego para detectar e interromper atividades suspeitas. A dispersão dos ataques durante horários de pico aumenta a complexidade de defesa, exigindo soluções de segurança mais integradas e coordenação entre equipes de segurança e operações.

Impactos potenciais para empresas brasileiras que utilizam Microsoft 365

Empresas brasileiras que utilizam o Microsoft 365 enfrentam riscos significativos de ataques de phishing que podem comprometer dados sensíveis. O aumento na adoção do Microsoft 365 no Brasil, especialmente entre pequenas e médias empresas, reflete o potencial de impacto desses ataques. No IBSEC, acreditamos que a compreensão desses riscos é fundamental para desenvolver estratégias de mitigação eficazes. Um ataque bem-sucedido pode resultar em perda de dados, interrupção de operações e danos à reputação, afetando a confiança de clientes e parceiros. Esses impactos destacam a importância de políticas de segurança robustas e de resposta a incidentes bem definidas.

Além da perda de dados, as empresas podem enfrentar consequências financeiras significativas devido a violações de segurança. A LGPD (Lei Geral de Proteção de Dados) no Brasil impõe multas pesadas por falhas na proteção de dados pessoais. No IBSEC, enfatizamos a conformidade com a LGPD como um componente crítico da segurança cibernética. A incapacidade de proteger adequadamente os dados pode resultar em penalidades financeiras que afetam diretamente os resultados financeiros das empresas. Isso reforça a necessidade de integrar medidas de segurança que garantam a proteção contínua dos dados e a conformidade regulatória.

O impacto na reputação também é uma preocupação significativa para empresas brasileiras. No mercado nacional competitivo, a confiança dos clientes é um ativo valioso que pode ser facilmente comprometido por uma violação de segurança. No IBSEC, ensinamos que a reputação é tão importante quanto a segurança técnica. Um incidente de phishing pode resultar em publicidade negativa e perda de confiança, dificultando a recuperação da imagem da empresa. Isso sublinha a importância de uma estratégia de comunicação de crise que aborde rapidamente as preocupações dos stakeholders.

Empresas que utilizam o Microsoft 365 também enfrentam o risco de interrupção operacional devido a ataques de phishing. No Brasil, onde a continuidade dos negócios é crítica, qualquer interrupção pode ter consequências graves. No IBSEC, promovemos a implementação de planos de continuidade de negócios que considerem cenários de ataque cibernético. A interrupção das operações pode resultar em perda de receita e oportunidades, além de afetar a capacidade da empresa de atender seus clientes. Isso ressalta a importância de resiliência operacional e planos de recuperação que minimizem o impacto de incidentes de segurança.

Finalmente, a exposição a ataques de phishing pode levar a um aumento nos custos de seguro cibernético para empresas brasileiras. No mercado de seguros do Brasil, a avaliação de risco é um fator determinante nos prêmios de seguro. No IBSEC, abordamos a importância de implementar medidas de segurança que reduzam o risco percebido e, consequentemente, os custos de seguro. A falta de medidas de segurança adequadas pode resultar em prêmios mais altos, impactando negativamente a viabilidade financeira das empresas. Isso destaca a necessidade de uma abordagem proativa para a segurança cibernética que mitigue riscos e minimize despesas.

Medidas de proteção contra phishing em ambientes Microsoft 365

Implementar medidas de proteção eficazes contra phishing em ambientes Microsoft 365 é crucial para a segurança das empresas. No Brasil, onde muitas organizações dependem do Microsoft 365, essas medidas são essenciais para proteger dados e operações. No IBSEC, incentivamos a adoção de um conjunto abrangente de políticas de segurança para mitigar riscos. A primeira linha de defesa é a configuração adequada do Microsoft 365, incluindo a ativação de autenticação multifator (MFA) e a personalização das configurações de segurança. Essas ações dificultam o acesso não autorizado e melhoram a proteção geral contra phishing.

Além disso, é importante monitorar continuamente as atividades de e-mail para identificar e bloquear tentativas de phishing. No Brasil, onde a detecção precoce é vital, o uso de ferramentas de monitoramento pode ajudar a prevenir incidentes. No IBSEC, recomendamos a implementação de soluções SIEM (Security Information and Event Management) para melhorar a visibilidade e a resposta a ameaças. O monitoramento contínuo permite que as empresas detectem atividades suspeitas em tempo real e tomem medidas imediatas para mitigar riscos. Isso reforça a importância de uma abordagem proativa para a segurança cibernética.

Outra medida eficaz é a execução de testes de phishing simulados para avaliar a prontidão dos funcionários. No Brasil, onde a conscientização sobre segurança está em crescimento, esses testes são uma ferramenta valiosa para educar e preparar as equipes. No IBSEC, realizamos treinamentos regulares que incluem simulações de phishing para aumentar a resiliência organizacional. Os testes simulados ajudam a identificar vulnerabilidades na resposta dos funcionários e fornecem insights sobre áreas que precisam de melhorias. Isso sublinha a importância de um ciclo contínuo de treinamento e avaliação para fortalecer a segurança.

A implementação de políticas de e-mail seguras, como a filtragem de conteúdo e a verificação de remetentes, é outra prática recomendada. No Brasil, onde o volume de e-mails comerciais é alto, essas políticas podem reduzir significativamente o risco de ataques de phishing. No IBSEC, ensinamos a importância de políticas de e-mail que garantam a integridade e a segurança das comunicações. A filtragem eficaz de e-mails pode bloquear mensagens maliciosas antes que cheguem aos destinatários, reduzindo a exposição a riscos. Isso destaca a necessidade de uma estratégia de segurança de e-mail bem definida e executada.

Finalmente, a colaboração com fornecedores de segurança para implementar soluções avançadas de proteção pode ser benéfica. No Brasil, onde a segurança cibernética está evoluindo rapidamente, parcerias com especialistas podem fortalecer as defesas das empresas. No IBSEC, defendemos a integração de soluções de segurança de ponta para enfrentar ameaças emergentes. Trabalhar com fornecedores permite que as empresas acessem tecnologia e expertise de última geração, aprimorando suas capacidades de defesa. Isso enfatiza a importância de uma abordagem colaborativa para a segurança que maximize a eficácia das defesas cibernéticas.

Importância da conscientização dos funcionários na prevenção de ataques de phishing

A conscientização dos funcionários é uma das defesas mais eficazes contra ataques de phishing. No Brasil, onde o comportamento humano é frequentemente o elo mais fraco na segurança, a educação contínua é essencial. No IBSEC, acreditamos que a conscientização é um componente crítico de qualquer estratégia de segurança cibernética. Funcionários bem informados podem identificar e relatar tentativas de phishing antes que causem danos. Isso sublinha a importância de programas de treinamento regulares que ensinem os funcionários a reconhecer e responder adequadamente a ameaças.

Programas de conscientização devem ser contínuos e adaptados às necessidades específicas da organização. No Brasil, onde a diversidade de setores e tamanhos de empresas é ampla, os programas devem refletir essas variáveis. No IBSEC, desenvolvemos treinamentos personalizados que abordam as necessidades únicas de cada organização. A personalização garante que o conteúdo seja relevante e aplicável, aumentando a eficácia do treinamento. Isso destaca a importância de uma abordagem de conscientização que seja dinâmica e responsiva às mudanças no cenário de ameaças.

Além de treinamento formal, campanhas de conscientização informais são eficazes para manter a segurança no topo das prioridades dos funcionários. No Brasil, onde a comunicação interna é uma ferramenta poderosa, campanhas informais podem complementar os esforços formais. No IBSEC, incentivamos o uso de boletins informativos, lembretes e workshops para reforçar as mensagens de segurança. Essas atividades ajudam a manter a segurança em mente, promovendo uma cultura organizacional que valoriza a proteção de dados. Isso sublinha a importância de uma abordagem multifacetada para a conscientização.

A participação ativa da liderança executiva é crucial para o sucesso dos programas de conscientização. No Brasil, onde a cultura corporativa é fortemente influenciada pela liderança, o apoio executivo pode fazer a diferença. No IBSEC, promovemos o envolvimento da liderança em iniciativas de segurança para demonstrar compromisso e importância. A participação ativa da liderança envia uma mensagem clara de que a segurança é uma prioridade corporativa, incentivando os funcionários a adotar práticas seguras. Isso destaca a importância de um compromisso organizacional total com a segurança.

Finalmente, a medição e a avaliação dos programas de conscientização são essenciais para garantir sua eficácia. No Brasil, onde a avaliação de desempenho é uma prática comum, aplicar essas métricas à segurança ajuda a identificar áreas de melhoria. No IBSEC, utilizamos indicadores de desempenho para avaliar o impacto dos treinamentos e ajustar as abordagens conforme necessário. A medição contínua garante que os programas de conscientização permaneçam relevantes e eficazes, adaptando-se às novas ameaças. Isso enfatiza a importância de uma abordagem baseada em dados para a segurança cibernética.

Valide seu conhecimento e avance na carreira

Para mitigar os riscos discutidos neste artigo, é crucial que os profissionais de TI e segurança se preparem adequadamente, adquirindo conhecimentos sólidos em práticas de cibersegurança.