Violação de Segurança do Outlook 2026: 4.000+ Senhas Roubadas via Complemento Malicioso

Em um incidente significativo de cibersegurança que expôs vulnerabilidades críticas no ecossistema de complementos da Microsoft, mais de 4.000 usuários do Outlook tiveram suas senhas e informações financeiras sensíveis roubadas por meio de um complemento sequestrado chamado AgreeTo. Este ataque inédito, descoberto por pesquisadores de segurança em fevereiro de 2026, representa o primeiro complemento malicioso conhecido do Outlook no Marketplace oficial da Microsoft e destaca lacunas sistêmicas de segurança em como a Microsoft monitora extensões de terceiros.

O Que Aconteceu: O Ataque do Complemento AgreeTo Explicado

A violação de segurança centrou-se em um complemento do Outlook chamado AgreeTo, originalmente desenvolvido como uma ferramenta legítima de agendamento de reuniões que permitia aos usuários mesclar calendários de trabalho e pessoais. O complemento foi atualizado pela última vez em dezembro de 2022 antes de ser abandonado por seu desenvolvedor. Quando o desenvolvedor encerrou as operações, ele não removeu o complemento do Marketplace da Microsoft e permitiu que o domínio associado expirasse.

Esta falha provou ser catastrófica. Cibercriminosos reivindicaram o domínio expirado (outlook-one.vercel.app) e transformaram o complemento uma vez legítimo em uma ferramenta sofisticada de phishing. A versão maliciosa exibia páginas falsas de login da Microsoft na interface da barra lateral do Outlook, capturando credenciais de usuários e enviando-as aos atacantes via Telegram Bot API antes de redirecionar as vítimas para páginas legítimas de login da Microsoft.

Como o Ataque Funcionou: Detalhes Técnicos

O ataque explorou várias vulnerabilidades críticas na arquitetura de complementos da Microsoft:

• Tomada de Domínio: Atacantes reivindicaram o subdomínio Vercel abandonado listado no manifesto original do complemento
• Integração de Kit de Phishing: O domínio sequestrado serviu páginas falsas de login da Microsoft que apareciam na interface confiável do Outlook
• Abuso de Permissões: O complemento tinha permissões 'ReadWriteItem' concedidas em 2022, permitindo ler e modificar e-mails do usuário
• Exfiltração de Dados: Credenciais roubadas foram automaticamente enviadas aos atacantes via bots do Telegram

Pesquisadores de segurança da Koi Security descobriram o ataque e descobriram que os dados roubados incluíam não apenas senhas, mas também números de cartão de crédito, códigos CVV, PINs e respostas de segurança bancária usadas para autenticação de Transferência Interac.

O Problema Estrutural com Complementos do Outlook

Este incidente expõe falhas fundamentais no modelo de segurança de complementos da Microsoft. Ao contrário de software tradicional que passa por monitoramento contínuo, os complementos do Outlook são revisados apenas durante a submissão inicial ao Marketplace. Uma vez aprovados, eles podem carregar conteúdo dinamicamente de URLs externas sem mais escrutínio.

'Isso representa uma vulnerabilidade crítica na cadeia de suprimentos onde complementos do Office buscam conteúdo dinamicamente de servidores de desenvolvedores sem monitoramento contínuo,' explicou o analista de cibersegurança Mark Johnson. 'A arquitetura permite que domínios abandonados sejam tomados e complementos legítimos sejam transformados em malware.'

O problema é particularmente agudo porque o processo de submissão da Microsoft só exige que os desenvolvedores enviem um manifesto XML com uma URL, em vez de código real para revisão. Esta vulnerabilidade foi identificada pela primeira vez em 2019, mas permanece não resolvida na arquitetura atual da Microsoft.

Impacto e Escopo da Violação

O ataque AgreeToSteal (como os pesquisadores o nomearam) afetou mais de 4.000 usuários do Outlook em todo o mundo. Os dados comprometidos incluem:

Os pesquisadores descobriram que os atacantes operam pelo menos 12 kits de phishing distintos imitando várias marcas, incluindo ISPs canadenses, bancos e provedores de webmail, sugerindo que isso fazia parte de uma operação maior e coordenada.

Resposta da Microsoft e Ações do Usuário

A Microsoft removeu o complemento AgreeTo de seu Marketplace após a descoberta por pesquisadores de segurança. No entanto, a empresa não anunciou mudanças fundamentais em sua arquitetura de monitoramento de complementos.

Para usuários afetados, ação imediata é necessária:

1. Desinstalar o Complemento AgreeTo: Remova-o imediatamente do Outlook se instalado após maio de 2023
2. Alterar Senhas: Redefina senhas para todas as contas da Microsoft afetadas
3. Habilitar Autenticação de Dois Fatores: Adicione uma camada extra de segurança às suas contas
4. Monitorar Extratos Financeiros: Verifique transações suspeitas
5. Revisar Atividade da Conta: Procure por acesso ou alterações não autorizados

Implicações Mais Ampla para Segurança Empresarial

Este incidente tem implicações significativas para estratégias de cibersegurança empresarial, particularmente para organizações que dependem do Outlook para comunicações comerciais. O ataque demonstra como plataformas confiáveis podem se tornar vetores para campanhas sofisticadas de phishing.

Especialistas em segurança recomendam que as organizações:

• Implementem políticas estritas de aprovação de complementos
• Auditem regularmente complementos instalados para extensões abandonadas ou não mantidas
• Eduquem funcionários sobre os riscos de extensões de terceiros
• Considerem usar complementos de segurança de nível empresarial como Microsoft Purview

O incidente também destaca a importância da segurança da cadeia de suprimentos em ecossistemas de software, onde vulnerabilidades em componentes de terceiros podem comprometer plataformas inteiras.

FAQ: Violação de Segurança de Complemento do Outlook 2026

O que é o ataque do complemento AgreeTo?

O ataque AgreeTo é um incidente de cibersegurança onde um complemento legítimo do Outlook foi sequestrado por atacantes após seu desenvolvedor abandoná-lo, transformando-o em uma ferramenta de phishing que roubou mais de 4.000 credenciais de usuários e dados financeiros.

Quantos usuários foram afetados?

Mais de 4.000 usuários do Outlook tiveram suas credenciais de conta da Microsoft roubadas, com vítimas adicionais provavelmente afetadas por roubo de dados financeiros, incluindo números de cartão de crédito e informações bancárias.

O que os usuários afetados devem fazer?

Desinstale imediatamente o complemento AgreeTo, altere todas as senhas afetadas, habilite autenticação de dois fatores, monitore contas financeiras para atividade suspeita e revise configurações de segurança da conta.

A Microsoft está corrigindo a vulnerabilidade subjacente?

A Microsoft removeu o complemento malicioso, mas não anunciou mudanças fundamentais em sua arquitetura de monitoramento de complementos, que pesquisadores de segurança criticaram como inadequada.

Como posso me proteger de ataques semelhantes?

Instale apenas complementos de desenvolvedores confiáveis, revise regularmente extensões instaladas, habilite autenticação de dois fatores, use senhas fortes e únicas e seja cauteloso com prompts de login inesperados dentro de aplicativos.

Fontes

The Hacker News: Primeiro Complemento Malicioso do Outlook Encontrado

Bleeping Computer: Complemento do Outlook Sequestrado para Roubar 4.000 Contas

Malwarebytes: Complemento do Outlook Fica Descontrolado e Rouba Credenciais

Computer World: Complemento do Outlook Morto Sequestrado