Uma nova campanha de phishing está usando a infraestrutura legítima do Notion para invadir contas corporativas da Microsoft — sem precisar descobrir uma única senha. O esquema foi identificado pela equipe de inteligência da Sublime Security, que batizou o grupo por trás dos ataques de “Doubloon Dredger” e já encontrou 14 PDFs semelhantes em campanhas contra setores como manufatura, telecomunicações, varejo, saúde e logística.
O truque começa com contas falsas no Notion criadas em nome de executivos de empresas. Os criminosos usam o recurso de compartilhamento da própria plataforma para enviar notificações a funcionários — e, como o e-mail sai dos servidores reais do Notion, ele passa por filtros de spam e parece totalmente confiável. Quem clica é levado a um PDF hospedado na nuvem com um botão “Review and Sign” (revisar e assinar), que por sua vez abre uma página falsa imitando o Adobe Acrobat, conectada a um sistema de roubo de acessos apelidado de EvilTokens.
É aí que mora a parte mais engenhosa: a página falsa exibe um código e orienta a vítima a inseri-lo no site oficial da Microsoft. O que parece uma verificação de rotina é, na prática, o fluxo de autorização por código de dispositivo — ao digitar o código, o funcionário autoriza o aparelho dos invasores a acessar a conta corporativa, com direito a ler e enviar e-mails, tudo sem que nenhuma senha tenha sido roubada. Como o login acontece no domínio verdadeiro da Microsoft, nem o cadeado do navegador denuncia o golpe.
A recomendação dos pesquisadores para as equipes de TI é direta: desativar a autorização por código de dispositivo sempre que possível, ou restringir a emissão a computadores e aparelhos homologados pela empresa. Para o usuário, vale a regra de sempre desconfiar de códigos que alguém pede para você digitar em outro site — e, para quem quer uma camada extra, uma chave de segurança física com padrão FIDO2, como a YubiKey 5C NFC, impede que um acesso autorizado à distância se transforme em conta invadida.
Produtos relacionados:
Oferta · Amazon Yubico YubiKey 5C NFC - Chave de segurança 2FA (USB-C/NFC) Ver oferta → 
Oferta · Amazon Yubico YubiKey 5 NFC - Chave de segurança 2FA (USB-A/NFC) Ver oferta → Oferta · Amazon Yubico Security Key - FIDO U2F/FIDO2 (USB-A/NFC) Ver oferta →
