Golpistas vêm se aproveitando, há meses, de uma brecha que lhes permite disparar e-mails de spam a partir de um endereço interno da Microsoft normalmente usado para alertas legítimos de conta.
As mensagens partem do endereço msonlineservicesteam@microsoftonline.com, utilizado pela companhia para enviar códigos de autenticação em dois fatores e outras notificações críticas. A falha possibilita que os estelionatários criem novos perfis na plataforma como se fossem clientes recém-chegados e, com esse acesso, enviem comunicações que aparentam ser oficiais, aumentando as chances de enganar os destinatários.
Na semana passada, a redação do TechCrunch recebeu vários e-mails semelhantes, com assuntos que simulavam avisos de transações fraudulentas ou a existência de mensagens privadas, sempre acompanhados de links para sites suspeitos.
Em publicação nas redes sociais na última terça-feira, a organização antispam The Spamhaus Project confirmou ter detectado o mesmo endereço da Microsoft sendo usado para disparos maliciosos desde o início do ano. A entidade afirmou que já notificou a empresa e ressaltou que sistemas de notificações automáticas “não deveriam permitir esse nível de personalização”.
Procurada, a Microsoft apenas reconheceu o contato, mas não comentou as causas da falha nem informou se o abuso foi contido.
Imagem: Getty
O episódio se soma a outras ocorrências recentes em que sistemas corporativos foram explorados para aplicar golpes por e-mail. No início de 2026, invasores comprometeram uma plataforma da fintech Betterment para enviar notificações falsas prometendo triplicar valores de criptomoedas transferidas pelos usuários. Em 2023, uma conta de e-mail da Namecheap também foi utilizada para tentativas de phishing voltadas ao roubo de credenciais.
Usuários em redes sociais relatam ainda o uso de endereços de outras empresas para campanhas de spam, indicando que o problema pode ser mais amplo do que o caso da Microsoft.
Com informações de TechCrunch
