Hélder Medeiros
A Prosegur Cybersecurity identificou um crescimento expressivo de uma campanha de fraude digital conhecida como “Device Code Phishing”, uma técnica que já está a afetar organizações de diferentes setores de atividade. De acordo com a análise realizada pela empresa, o número de ocorrências associadas a este método aumentou 37 vezes entre 2024 e 2026, refletindo uma evolução das ameaças que exploram os próprios mecanismos legítimos de autenticação utilizados pelas empresas.
Ao contrário das campanhas tradicionais de phishing, que recorrem frequentemente a ligações fraudulentas ou a ficheiros maliciosos para comprometer sistemas, esta abordagem distingue-se por operar sem esses elementos. Os atacantes procuram convencer os utilizadores a introduzir um código legítimo numa página oficial, permitindo o acesso à conta corporativa através de serviços autênticos e dificultando a deteção pelos mecanismos de segurança convencionais.
Segundo a Prosegur Cybersecurity, a eficácia desta técnica assenta sobretudo em dois fatores: a persistência do acesso obtido e o elevado grau de automatização das operações subsequentes. Depois de conseguirem autorização, os atacantes podem manter o acesso durante períodos prolongados, recorrendo a permissões que lhes permitem reativar sessões sem necessidade de nova intervenção do utilizador, mesmo após alterações de palavra-passe.
A automatização reforça ainda mais o potencial impacto destas intrusões. Os processos utilizados permitem analisar mensagens de correio eletrónico, recolher documentos e criar mecanismos de acesso permanentes em poucos segundos, através da alteração de regras de e-mail ou do registo de novas aplicações no ambiente empresarial.
Esta combinação de acesso prolongado e execução rápida transforma a campanha numa ameaça particularmente complexa para as equipas responsáveis pela segurança informática, dificultando tanto a sua identificação como a sua contenção.
Perante esta evolução, a Prosegur Cybersecurity considera que as organizações devem rever a forma como encaram a proteção dos seus sistemas. A empresa defende que a segurança não pode assentar exclusivamente em palavras-passe ou na deteção de software malicioso, devendo passar a incluir uma monitorização contínua dos processos de autenticação, das permissões atribuídas e da gestão das identidades digitais.
Entre as medidas recomendadas estão a revisão periódica das configurações de acesso, a monitorização da criação de novas aplicações internas, a auditoria das permissões concedidas a serviços ligados às infraestruturas empresariais e a implementação de procedimentos que permitam revogar integralmente os acessos atribuídos quando necessário. A empresa sublinha igualmente a importância de mecanismos capazes de identificar e remover mensagens fraudulentas de todas as caixas de correio corporativas para limitar a sua disseminação.
Luís Martins, diretor-geral da Prosegur Cybersecurity Portugal, considera que esta campanha representa uma mudança relevante na forma como os atacantes procuram comprometer as organizações. Segundo o responsável, o objetivo deixou de ser a exploração direta dos sistemas para passar a centrar-se na confiança depositada pelos utilizadores e nos próprios serviços de autenticação, o que obriga as empresas a reforçar a vigilância sobre a identidade digital e a compreender melhor o funcionamento desta ameaça para antecipar futuros ataques.
