O que é o NovaCookies?
O NovaCookies é um kit de phishing do tipo Adversary-in-the-Middle (AitM), comercializado como serviço de Phishing-as-a-Service (PhaaS). A ferramenta funciona como um intermediário entre a vítima e a página real de login da Microsoft, capturando credenciais, códigos de autenticação multifator e, principalmente, a sessão autenticada do Microsoft 365.
Segundo pesquisadores, o serviço é vendido por aproximadamente US$ 320 por mês e já foi utilizado contra organizações nos Estados Unidos, Reino Unido, Canadá, Alemanha, Israel e Emirados Árabes Unidos. A Proofpoint avalia que o NovaCookies é uma variante do kit de phishing Sneaky 2FA.
O diferencial do ataque está na combinação de três elementos que normalmente transmitem confiança:
Uma notificação real do DocuSign.
Redirecionamentos que passam por serviços legítimos da Microsoft ou do Google.
Uma página falsa de login exibida somente no estágio final da navegação.
Na prática, o e-mail inicial pode ser legítimo, mas o documento compartilhado por meio dele contém a isca maliciosa.
Como funciona o golpe
1. A vítima recebe um e-mail real do DocuSign
A campanha começa com uma notificação legítima do DocuSign, geralmente relacionada ao compartilhamento ou à assinatura de um documento.
A mensagem pode informar que o departamento financeiro ou a contabilidade enviou um PDF de pagamento, aviso de cobrança ou documento semelhante. Como o e-mail foi realmente enviado pela plataforma, ele pode passar pelas verificações tradicionais de autenticidade do remetente.
Isso significa que SPF, DKIM e DMARC podem confirmar que a mensagem foi enviada por uma infraestrutura autorizada do DocuSign. Porém, esses mecanismos não validam automaticamente se o conteúdo do documento é seguro.
Esse é um ponto importante: um e-mail autêntico não é necessariamente um e-mail seguro. Uma plataforma legítima pode ser abusada para distribuir conteúdo malicioso ou induzir o usuário a acessar uma página fraudulenta.
2. O link malicioso fica dentro do documento
Em vez de colocar o link diretamente no corpo do e-mail, os criminosos inserem a URL dentro do documento compartilhado pelo DocuSign.
A isca pode simular um aviso de pagamento ou um documento enviado pela área financeira. Ao abrir o PDF, a vítima encontra um botão ou link que promete visualizar o conteúdo, acessar o arquivo ou concluir uma etapa de assinatura.
Esse método explora uma limitação comum dos gateways de segurança: muitos produtos inspecionam o remetente, o assunto e o corpo da mensagem, mas não analisam completamente todos os elementos incorporados em documentos hospedados por serviços legítimos.
O conteúdo malicioso, portanto, aparece abaixo da primeira camada de inspeção.
3. O navegador passa por redirecionamentos confiáveis
Depois do clique, a vítima pode ser encaminhada por uma sequência de URLs que parecem pertencer à Microsoft ou ao Google antes de chegar à infraestrutura controlada pelos atacantes.
A cadeia também pode abusar do tratamento de erros em fluxos OAuth. Em março de 2026, a Microsoft descreveu campanhas que exploravam redirecionamentos acionados por erros de autenticação para conduzir usuários de endpoints legítimos até domínios controlados por criminosos.
Esse mecanismo dificulta a detecção porque cada etapa, isoladamente, pode parecer normal:
- O e-mail veio do DocuSign.
- O documento está hospedado em uma plataforma conhecida.
- O navegador acessa um domínio legítimo de identidade.
- A página final é idêntica ao login do Microsoft 365.
O navegador, entretanto, é o ponto em que todos esses eventos se conectam.
4. O NovaCookies atua como proxy em tempo real
Na etapa final, o NovaCookies apresenta uma página falsa de login do Microsoft 365. A vítima acredita estar acessando o portal verdadeiro e insere o nome de usuário, a senha e o fator adicional de autenticação.
O kit encaminha essas informações para a Microsoft em tempo real, enquanto acompanha o processo de login. Dessa forma, o criminoso consegue observar a autenticação e capturar os dados da sessão emitida após a validação.
O ataque não precisa necessariamente “quebrar” a MFA. Ele pode usar a própria autenticação legítima da vítima para obter uma sessão já validada.
5. A sessão autenticada é capturada
Após a conclusão do login, o NovaCookies captura o token ou cookie associado à sessão autenticada e pode reutilizá-lo para acessar recursos do Microsoft 365.
Esse tipo de comprometimento é particularmente perigoso porque uma senha alterada depois do incidente pode não ser suficiente para encerrar todas as sessões já estabelecidas. Dependendo da configuração do ambiente, os invasores podem tentar acessar e-mail, arquivos, SharePoint, OneDrive, Teams e outros serviços associados à identidade comprometida.
Por isso, a resposta deve incluir a revogação das sessões e dos tokens, além da redefinição das credenciais e da investigação dos recursos acessados.
Por que a MFA não foi suficiente?
A autenticação multifator continua sendo uma camada essencial de proteção, mas nem todos os métodos de MFA oferecem a mesma resistência contra phishing.
Em um ataque AitM, o usuário não está apenas digitando suas informações em uma página falsa. Ele está sendo conduzido por um proxy que retransmite a autenticação para o provedor real e quando a vítima aprova a MFA, o atacante pode capturar a sessão autenticada resultante.
A diferença pode ser entendida assim:
| Cenário | O que pode acontecer |
|---|---|
| Phishing tradicional | O criminoso captura a senha e tenta usá-la depois. |
| Phishing AitM | O criminoso acompanha o login em tempo real e captura a sessão autenticada. |
| MFA baseada em código | O código pode ser retransmitido pelo proxy durante o login. |
| MFA resistente a phishing | O autenticador verifica a origem legítima do serviço antes de autorizar. |
Passkeys e chaves de segurança baseadas em FIDO2 são mais resistentes porque vinculam a autenticação ao domínio legítimo. Em vez de confiar apenas em uma senha ou código que pode ser retransmitido, esses métodos usam uma credencial criptográfica associada à origem do serviço.
Como proteger o Microsoft 365
Adote autenticação resistente a phishing
Sempre que possível, substitua métodos mais vulneráveis, como SMS e códigos OTP, por:
Passkeys.
Chaves físicas FIDO2.
Windows Hello for Business.
Outros autenticadores compatíveis com WebAuthn e FIDO.
A MFA tradicional é melhor do que não utilizar nenhuma camada adicional, mas não deve ser considerada uma proteção absoluta contra ataques AitM.
Configure o Acesso Condicional
As políticas do Microsoft Entra ID devem considerar mais do que o simples fato de o usuário ter concluído a MFA.
Avalie a exigência de:
Dispositivo compatível e gerenciado.
Localização e faixa de IP esperadas.
Nível de risco do usuário e do login.
Aplicativos autorizados.
Sistema operacional e navegador.
Reautenticação para operações sensíveis.
Bloqueio de protocolos e aplicações legadas.
Também é importante restringir o consentimento de usuários a aplicações OAuth desconhecidas e revisar regularmente os registros de aplicativos e suas URLs de redirecionamento.
Monitore sessões e tokens
A equipe de segurança deve acompanhar sinais de uso anômalo, como:
Login seguido de atividade a partir de outro país ou provedor de hospedagem.
Acesso simultâneo por endereços IP incompatíveis.
Download elevado de arquivos após uma autenticação.
Criação de regras suspeitas na caixa de entrada.
Consentimento para aplicativos desconhecidos.
Alteração de métodos de autenticação.
Inclusão de novos dispositivos ou sessões.
Tentativas de acesso a SharePoint, OneDrive e Exchange fora do padrão.
O Microsoft Defender, o Microsoft Entra ID e o Microsoft Sentinel podem ser combinados para centralizar esses sinais e acelerar a investigação.
Proteja o fluxo de documentos
O treinamento dos colaboradores deve abordar também notificações verdadeiras de plataformas como DocuSign, OneDrive e SharePoint.
Oriente os usuários a:
Não confiar automaticamente em um remetente conhecido.
Conferir o contexto do documento antes de clicar.
Desconfiar de cobranças e pagamentos inesperados.
Abrir o serviço diretamente pelo navegador ou aplicativo oficial.
Verificar o domínio exibido na barra de endereço.
Evitar inserir credenciais após uma sequência incomum de redirecionamentos.
Reportar documentos inesperados ao time de segurança.
Uma regra simples pode ajudar: se o documento envolve pagamento, alteração de dados bancários ou autenticação urgente, confirme a solicitação por um canal independente.
Prepare um plano de resposta
Se houver suspeita de roubo de sessão, a empresa deve agir rapidamente:
- Bloquear ou suspender a conta comprometida.
- Revogar sessões, tokens e sessões persistentes.
- Redefinir a senha e revisar os métodos de autenticação.
- Remover aplicativos OAuth desconhecidos e revisar consentimentos.
- Investigar regras de encaminhamento e alterações na caixa de correio.
- Verificar acessos ao SharePoint, OneDrive, Teams e Exchange.
- Procurar mensagens enviadas pelo invasor ou movimentação lateral.
- Avaliar possíveis fraudes financeiras e comunicação com clientes ou parceiros.
- Preservar logs, URLs, cabeçalhos e evidências para análise.
A simples troca da senha pode não eliminar o acesso se uma sessão roubada ainda estiver válida.
O que o NovaCookies ensina sobre segurança?
O caso mostra por que a segurança de identidade não pode depender de uma única camada de defesa.
O e-mail pode ser legítimo, o domínio pode ter boa reputação, o MFA pode ser concluído corretamente. Ainda assim, a sessão pode ser interceptada quando a autenticação ocorre por meio de uma infraestrutura controlada pelo atacante.
A defesa precisa combinar:
Autenticação resistente a phishing.
Políticas de acesso condicional.
Proteção de navegador e endpoint.
Monitoramento de identidade.
Análise de sessões e tokens.
Segurança de aplicações OAuth.
Treinamento baseado em cenários reais.
Resposta rápida a incidentes.
Esse modelo reduz a dependência de uma única tecnologia e amplia a capacidade de detectar comportamentos anômalos depois que o usuário conclui o login.
Sua empresa está protegida contra o NovaCookies?
Ataques como o NovaCookies mostram que o criminoso não precisa necessariamente falsificar toda a comunicação. Ele pode explorar a confiança que as empresas já depositam em serviços de assinatura eletrônica, plataformas de colaboração e provedores de identidade.
A KeepIt ajuda empresas a fortalecer a proteção do Microsoft 365 com monitoramento ativo, segurança de identidades e uma arquitetura defensiva orientada à detecção e à resposta.
Não espere um incidente para descobrir se uma sessão comprometida ainda permite acesso aos dados corporativos.
Fale com nosso time e avalie a maturidade da proteção do seu ambiente Microsoft 365.