Uma nova pesquisa da Proofpoint identificou uma técnica emergente de ataque contra ambientes em nuvem que permite a agentes maliciosos enumerar contas do Microsoft Entra ID de forma silenciosa, utilizando IDs de cliente OAuth falsificados para contornar mecanismos convencionais de detecção. A descoberta demonstra uma evolução nas estratégias de abuso de identidade, explorando comportamentos legítimos da plataforma em vez de vulnerabilidades de software.
De acordo com os pesquisadores, a técnica consiste na manipulação do parâmetro client_id durante solicitações de autenticação OAuth. Ao utilizar identificadores de aplicativos inexistentes ou não registrados, os invasores conseguem obter respostas distintas do serviço de identidade da Microsoft e, com isso, determinar se uma conta existe, se uma senha é inválida e até mesmo identificar credenciais potencialmente válidas, sem gerar um evento de login bem-sucedido.
O estudo destaca que o comportamento representa um importante desafio para os times de Security Operations Center (SOC), uma vez que muitos controles de monitoramento dependem da correlação de eventos associados a aplicativos específicos. Quando um ID de cliente falsificado é utilizado, os registros do Entra podem apresentar campos de aplicativo vazios ou sem correspondência, criando um ponto cego para as ferramentas de detecção.
Segundo a Proofpoint, a prática já está sendo utilizada em campanhas reais e em larga escala. Os pesquisadores observaram múltiplas operações independentes direcionadas a milhões de contas em milhares de locatários do Microsoft Entra ID, evidenciando que a técnica deixou de ser uma prova de conceito e está se consolidando como uma tática operacional adotada por diversos atores de ameaça.
Uma das campanhas analisadas, rastreada como UNK_pyreq2323, teve início em janeiro de 2026 e utilizou mais de 700 mil IDs de cliente falsificados para atingir mais de um milhão de contas em aproximadamente quatro mil tenants. Já a operação denominada UNK_OutFlareAZ alcançou uma escala ainda maior, envolvendo mais de dois milhões de usuários e cerca de 3,7 milhões de identificadores OAuth falsificados.
A análise das campanhas apontou ainda diferenças significativas de infraestrutura, agentes de usuário e métodos de geração dos IDs falsificados, indicando que grupos distintos vêm explorando a mesma abordagem de forma independente. Para os pesquisadores, esse é um forte indicativo de que a falsificação de IDs de cliente OAuth está ganhando espaço no arsenal de técnicas utilizadas por agentes especializados em comprometimento de identidades na nuvem.
Entre as recomendações para as equipes de defesa, a Proofpoint destaca a necessidade de revisar os processos de monitoramento dos logs do Entra ID, com atenção especial para eventos de autenticação que apresentem ausência de nome de aplicativo ou inconsistências relacionadas ao identificador da aplicação. Os pesquisadores também alertam que determinados códigos de erro de autenticação podem indicar não apenas falhas de login, mas tentativas de enumeração e validação de credenciais em andamento.
Para organizações que aceleram iniciativas de transformação digital e centralizam estratégias de identidade na nuvem, o estudo reforça a importância de ampliar a visibilidade sobre atividades de autenticação, incorporando análises comportamentais e mecanismos capazes de identificar padrões anômalos que não dependam exclusivamente da associação a aplicativos conhecidos.
