A empresa Huntress detectou um aumento de 155 vezes nos ataques de pulverização de senhas durante o primeiro semestre de 2026, em uma onda que se beneficiou de credenciais vazadas e de caminhos de autenticação antigos que nem sempre estavam protegidos pela autenticação multifator (MFA). Entre os casos de maior destaque esteve uma campanha que teve como alvo a ferramenta Azure CLI, usada por administradores de sistemas para gerenciar recursos do Azure e do Entra.
A atividade teve origem em um intervalo IPv6 controlado pela empresa de hospedagem de internet LSHIY LLC. A campanha começou meses antes, mas, em meados de junho, a Huntress registrou mais de 81 milhões de tentativas de login relacionadas a ela ao longo de duas semanas, resultando no comprometimento de 78 contas. A empresa não detectou atividade posterior após os comprometimentos associados a essa campanha, enquanto Rich Mozeleski, diretor de produtos da Huntress, avaliou que o invasor estaria verificando a validade das credenciais com o objetivo de revendê-las na dark web.
Como os ataques foram executados?
A pulverização de senhas consiste em testar um número limitado de senhas comuns ou vazadas em muitas contas, em vez de tentar um grande número de senhas em uma única conta. Essa técnica ajuda o invasor a evitar limites de bloqueio e alertas diretos. Normalmente, o processo começa com a coleta de nomes de usuários válidos em sites corporativos, no LinkedIn, em vazamentos de dados e em campanhas de phishing, seguida da preparação de uma lista curta de senhas conhecidas ou relacionadas ao nome da empresa ou a períodos sazonais.
- Coleta de possíveis nomes de usuários.
- Preparação de uma lista limitada de senhas vazadas ou comuns.
- Teste de uma senha em várias contas, em baixa frequência.
- Uso da conta comprometida para movimentação lateral, comprometimento de e-mail corporativo ou roubo de dados adicionais.
Segundo a Huntress, a campanha da LSHIY combinou um amplo volume de tentativas com a reutilização de pares válidos de nomes de usuários e senhas vazados anteriormente que ainda não haviam sido alterados. Por isso, uma tentativa bem-sucedida era mais valiosa do que uma adivinhação aleatória de senha.
A vulnerabilidade no caminho de autenticação
Os invasores também exploraram o mecanismo Resource Owner Password Credentials, conhecido pela sigla ROPC, um tipo antigo de concessão OAuth descontinuado no OAuth 2.1. Esse mecanismo envia o nome de usuário e a senha diretamente ao endpoint /token e não oferece fluxos de autenticação modernos, como MFA ou login único (SSO), nem exibe um prompt interativo para a autenticação multifator.
Na prática, isso significa que uma senha reutilizada e ainda válida pode se transformar em uma sessão de acesso ativa mesmo quando a organização ativou o MFA por meio de uma política de acesso condicional (CAP), caso a política não inclua especificamente o caminho ROPC. Andrew “Spike” Brandt, principal líder de incidentes de inteligência contra ameaças da Huntress, descreveu tecnicamente esse mecanismo como um «método de personificação», apesar de ele ser denominado um método de autorização.
O que muda na prática?
A campanha demonstra que ativar o MFA de forma geral não garante a proteção de todos os caminhos de login. Caminhos antigos ou exceções não abrangidos pelas políticas de acesso podem dar a credenciais vazadas a oportunidade de contornar a proteção interativa. A Huntress informou que a LSHIY posteriormente interrompeu os ataques a partir do intervalo de IP original e confirmou que o invasor usou o serviço Bring Your Own IP (BYOIP) da empresa.