Em 14 de outubro de 2026, a Microsoft e a Health-ISAC obtiveram na Corte Distrital dos Estados Unidos para o Distrito Sul da Flórida uma ordem que permitiu apreender e redirecionar os domínios que sustentavam três operações criminosas: YAM Store, CoGUI e Iron Man. A Unidade de Crimes Digitais da Microsoft informou ter desativado mais de 20 mil contas ligadas à YAM Store e bloqueado mais de 100 mil domínios usados em fraude e falsificação de identidade (Microsoft On the Issues).
O dado mais relevante para quem administra um ambiente corporativo não é o volume derrubado. Desde janeiro de 2026, essas três operações viabilizaram mais de 1 bilhão de mensagens maliciosas contra mais de 75 mil organizações em mais de 150 países, sendo mais de 750 milhões dirigidas a clientes da Microsoft. A investigação técnica publicada no mesmo dia descreve o que havia por trás desse volume: uma cadeia de fornecedores especializados, em que uns roubam ambientes de nuvem e outros compram esse acesso pronto para aplicar golpes (Microsoft Threat Intelligence).
Uma loja que vendia acesso a ambientes Microsoft 365
A YAM Store, rastreada pela Microsoft como Storm-3119, funcionava como corretora de acesso inicial. O catálogo oferecia ambientes Microsoft e Google comprometidos ou obtidos de forma fraudulenta, organizados por idade da conta, tipo de assinatura e tipo de organização. Havia prateleiras específicas de domínios de educação e de entidades sem fins lucrativos, justamente os que passam mais credibilidade para quem recebe a mensagem.
Do outro lado do balcão estavam os kits de phishing CoGUI, Haozi e Iron Man System, agrupados pela Microsoft sob o identificador Storm-2990. São produtos vendidos por assinatura, com servidor de licença, painel administrativo e canal de atendimento ao comprador. O Iron Man System reunia mais de 2.300 modelos prontos que imitavam bancos, varejistas, empresas de transporte, autoridades de trânsito, órgãos públicos e prestadores de saúde em mais de 150 países.
Os kits também traziam recursos de evasão que explicam por que esse tipo de página demora a ser derrubada: geocerca para liberar o conteúdo apenas em países escolhidos, verificação falsa do tipo CAPTCHA para barrar ferramentas automatizadas de pesquisa, listas de bloqueio e liberação por endereço IP e notificação em tempo real por bot do Telegram, avisando o operador assim que a vítima digita credencial ou dado de cartão.
Como um ambiente legítimo virava mercadoria
A parte técnica interessa a qualquer empresa que use Microsoft 365, porque nenhuma etapa depende de uma falha inédita do produto. A Microsoft descreve um encadeamento de cinco estágios.
O reconhecimento era automatizado e anônimo, feito através da rede Tor, para localizar organizações com ambiente de nuvem ativo e levantar licenciamento. Identificado um alvo viável, o grupo passava a administrar o ambiente a partir de painéis próprios, usando credenciais de aplicativo em fluxo de autenticação apenas de aplicação. Esse detalhe é o que torna o caso incômodo: por não estar preso à sessão de um usuário, o acesso é mais duradouro, mais fácil de ampliar e mais difícil de perceber. Pelo painel, o operador redefinia senhas de forma silenciosa, sem exigir troca no acesso seguinte, e atribuía licenças a si mesmo.
No terceiro estágio, já com uma conta de Administrador Global dominada, o grupo provisionava um service principal conhecido e concedia a ele permissões amplas do Microsoft Graph, incluindo leitura e escrita em dados de diretório e controle total da API do SharePoint. Com isso, transformava o SharePoint e o OneDrive da empresa invadida em hospedagem de arquivos maliciosos — e revendia esse espaço como produto. Os dois últimos estágios cuidavam da infraestrutura de domínios e da loja virtual que monetizava tudo.
Nenhuma dessas ações é exótica. São operações administrativas legítimas, feitas por quem não deveria tê-las.
Por que uma empresa de médio porte entra nessa conta
A Microsoft registra que as organizações atingidas incluem empresas de serviços financeiros, saúde, distribuição e tecnologia, mas faz questão de dizer que as técnicas envolvidas são comuns e podem afetar qualquer organização.
O critério de seleção dos criminosos não era porte, era oportunidade. A varredura procurava ambientes com licenciamento aproveitável e administração frouxa. Uma empresa de 40 pessoas com três contas de Administrador Global, duas delas sem uso há meses, é um alvo mais barato de operar do que uma corporação com equipe de segurança dedicada. O produto vendido não era a importância da empresa: era a reputação do domínio dela.
Vale a mesma lógica que descrevemos no artigo sobre instaladores falsos que abrem acesso remoto ao ambiente. O que o atacante busca é um ponto de apoio confiável aos olhos dos sistemas de defesa de terceiros.
O que revisar no ambiente da sua empresa
A lista abaixo cobre os pontos que a própria Microsoft recomenda diante dessa operação, traduzidos para a rotina de uma empresa sem equipe interna de segurança. Nenhum item exige licença nova.
- Contagem de administradores. Levantar quantas contas têm papel de Administrador Global, confirmar quem é cada uma e reduzir ao mínimo necessário, aplicando privilégio mínimo aos papéis administrativos (documentação da Microsoft sobre boas práticas de papéis).
- Aplicativos e consentimentos concedidos. Revisar os aplicativos empresariais e as permissões já autorizadas no inquilino, principalmente as que dão escrita em diretório ou controle do SharePoint, e revogar o que ninguém da empresa reconhece (como revisar permissões de aplicativos).
- Quem pode autorizar aplicativos. Definir se um usuário comum pode conceder consentimento a um aplicativo externo ou se isso passa por aprovação administrativa.
- Autenticação resistente a phishing nas contas privilegiadas. Chaves de acesso e políticas de Acesso Condicional específicas para administradores, em vez de multifator por código (política de MFA resistente a phishing para administradores).
- Registro de credenciais apenas de locais e dispositivos confiáveis. Impede que o atacante cadastre o próprio fator de autenticação em uma conta tomada.
- Revisão periódica dos registros de acesso. Redefinições de senha fora do horário, atribuição inesperada de licença e criação de service principal são sinais que só aparecem para quem olha.
- Proteção de e-mail conferida. Aplicar as configurações recomendadas do Exchange Online Protection e do Defender para Office 365, com verificação de links também para mensagens entre pessoas de dentro da empresa.
- Inventário de domínios. Conferir prazos de renovação de todos os domínios e subdomínios da empresa, inclusive os que não hospedam mais nada.
Esse último item merece um parágrafo próprio.
Domínios e ambientes esquecidos viram matéria-prima
Segundo a Microsoft, parte do estoque da YAM Store vinha de domínios que organizações legítimas deixaram expirar. Os operadores recompravam o endereço, reconstruíam um site que fizesse a organização parecer ativa e, a partir dessa aparência, obtinham contas Microsoft 365 em nome dela. Em casos documentados, criaram entidades inteiramente fictícias, com conteúdo provavelmente gerado por inteligência artificial e documentação forjada, para abrir ambientes novos.
Para a empresa comum, a tradução é direta: um domínio antigo da campanha que acabou, o endereço da marca que foi descontinuada, o ambiente de testes que alguém criou e ninguém encerrou — tudo isso tem valor de revenda. O mesmo vale para assinaturas contratadas por fora da área técnica, o fenômeno que tratamos no artigo sobre uso não declarado de ferramentas de inteligência artificial: o que a empresa não sabe que tem, ela não renova, não monitora e não desliga.
Boa parte desses controles já está incluída nos planos que a empresa paga e simplesmente não foi ativada, situação que detalhamos no artigo sobre funções do Microsoft 365 que aumentam produtividade e segurança.
De quem é a responsabilidade por cada um desses controles
Aqui está o ponto que a notícia expõe melhor do que qualquer argumento comercial. Do lado criminoso, há especialização: um grupo invade ambientes, outro desenvolve o kit, um terceiro compra e aplica o golpe, e ainda existe camada de revenda. Do lado da empresa atacada, é comum que a revisão de permissões, o inventário de domínios e a leitura de registros de acesso não sejam tarefa de ninguém em específico.
É isso que uma boa terceirização de suporte de TI resolve, e é também onde muito contrato falha. Suporte a chamados cobre o que a pessoa percebe e relata. Nada no roteiro acima gera chamado: o usuário não abre ocorrência porque um aplicativo tem permissão excessiva há dois anos, nem porque um domínio vence em quarenta dias.
Na hora de revisar o contrato, três perguntas separam um modelo do outro. Quem responde pela revisão periódica de identidades, papéis administrativos e aplicativos autorizados, e com que frequência? Quem monitora os registros de acesso e em quanto tempo avisa a empresa diante de um sinal? E o que o acordo de nível de serviço promete em caso de comprometimento de conta — tema que destrinchamos no artigo sobre o que importa no SLA de TI?
Se a resposta a qualquer uma delas for "nunca combinamos", a lacuna não é de ferramenta, é de contrato.
Como a Diversa trata essa camada
A Diversa Tecnologia atua há mais de 20 anos com empresas no Rio de Janeiro, com peso em escritórios de contabilidade, advocacia e consultorias — perfis que concentram dados de terceiros e dependem de reputação de domínio para operar. O modelo de terceirização de suporte de TI praticado pela empresa parte justamente dessa divisão explícita de responsabilidades.
Nos contratos de serviços gerenciados de TI, a gestão de identidades e acessos no Microsoft 365 e no Entra ID é item de rotina, e não atendimento sob demanda: revisão de papéis administrativos, conferência de aplicativos autorizados, políticas de Acesso Condicional, firewall gerenciado, backup corporativo verificado e monitoramento contínuo — hoje são mais de 2.500 dispositivos acompanhados, com SLA de 99,8% de disponibilidade e primeira resposta humana em menos de 30 minutos para incidentes críticos. Quando a demanda é pontual, o mesmo escopo pode ser tratado como consultoria em segurança da informação.
Conclusão
A derrubada da YAM Store, do CoGUI e do Iron Man tira de circulação parte da infraestrutura, mas a Microsoft deixa claro que esse ecossistema é maior do que as três peças atingidas e não se limita aos serviços dela.
O que sobra para a empresa é a parte sob seu controle, que é menor e mais concreta do que parece: saber quantos administradores existem, quais aplicativos têm permissão no ambiente, quem lê os registros de acesso e quando vencem os domínios. São quatro respostas. A maioria das empresas não tem nenhuma delas por escrito.
Fale com os especialistas da Diversa para uma revisão das identidades, permissões e domínios do seu ambiente Microsoft 365.