Na manhã de 11 de março de 2026, funcionários de um fabricante global ligaram seus laptops para encontrá-los apagados. As telas de login foram substituídas pelo logo de Handala, uma persona hacktivista ligada ao Irã atribuída a um ator afiliado ao Ministério de Inteligência e Segurança do Irã. O grupo alegou apagamento de dados em mais de 200.000 sistemas e a exfiltração de 50 terabytes de dados corporativos.

A invasão não começou com um zero-day. Tudo começou com uma credencial de administrador comprometida, provavelmente devido a atividades de phishing ou roubo de informações, que deu aos atacantes acesso ao inquilino Microsoft Intune da empresa. O Intune é a plataforma que milhares de organizações usam para gerenciar seus endpoints de funcionários, e uma de suas capacidades integradas permite que administradores apaguem remotamente os dispositivos registrados caso um laptop seja perdido ou roubado. Assim que Handala manteve as chaves de administrador do Intune, eles apontaram essa capacidade para todos os endpoints que a empresa havia registrado e acionaram uma limpeza simultânea.

Para cada cliente do Microsoft 365, a lição é em camadas. Quando defesas essenciais contra phishing fornecem cobertura suficiente, os atacantes migram para canais secundários como roubos de informação, credenciais vazadas e terceiros comprometidos. O que determina o raio de explosão a partir daí é se os planos administrativos SaaS que operam o negócio, incluindo Intune, Entra ID, Defender e Purview, estão configurados de forma suficientemente rígida para garantir que uma única conta de administrador comprometida não possa desligar uma organização.

Na Abnormal, acreditamos que dois controles de curto prazo merecem atenção imediata de todo defensor:

• Revise as permissões de administrador permanentes no Intune e Entra ID para manter o privilégio que uma credencial roubada pode exercer o mais limitado possível.
• Aplicar aprovação multiadministrador para ações destrutivas do Intune, como apagar dispositivos, aposentadoria e exclusão, para que uma única conta comprometida não possa desligar a empresa.

Ambos são abordáveis hoje dentro do Gerenciamento de Postura de Segurança Anormal (SPM).

Para explorar como o Abnormal SPM ajuda você a detectar e corrigir o desvio de configuração do Microsoft 365 antes que os atacantes possam explorá-lo, agende uma demonstração personalizada.

O que a Gestão de Postura de Segurança Oferece

A Abnormal lançou o Security Posture Management em 2023 para dar às equipes de segurança visibilidade contínua sobre configurações e identidades do Microsoft 365 que ferramentas de e-mail legadas nunca veem. O SPM compara um tenant com as melhores práticas de CIS e Microsoft, detecta desvios de configuração e guia as equipes por remediação guiada. Construímos porque a má configuração se tornou a principal forma de atacantes transformarem credenciais roubadas em danos operacionais, e uma auditoria trimestral já não é rápida o suficiente para acompanhar ataques modernos. Nos últimos seis meses, melhoramos materialmente a SPM em todas as áreas desse trabalho.

Detecção de Deriva que se Explica Sozinha

O Drift Log dentro do SPM agora mostra uma visão JSON lado a lado para cada mudança de configuração, junto com um Resumo de Análise de Postura GenAI que traduz os deltas brutos de configuração em explicações em linguagem simples do que mudou e por que isso importa. Seu analista SOC não precisa mais analisar JSON para entender se uma política de papel privilegiado foi flexibilizada ou se um log de auditoria foi desativado. O que antes era uma investigação de 20 minutos agora é uma leitura de 30 segundos.

Cobertura que Segue o Atacante

O SPM se expandiu para uma cobertura de primeira classe do Microsoft Defender, Microsoft Purview, políticas de escalonamento de papéis privilegiados e dispositivos gerenciados pelo Microsoft Intune, cobrindo exatamente as configurações que os atacantes buscam após a violação inicial, incluindo os padrões de apagamento em massa do Intune e do Entra ID no centro do incidente Handala. Todo o acesso é feito via Microsoft Graph em leitura somante. Se seu tenant Intune estiver sem aprovação multi-admin em ações destrutivas hoje, o SPM sinaliza isso. Se uma política de função privilegiada for flexibilizada amanhã, ela aparece na sua fila acompanhada de uma explicação. A expansão é informada pela inteligência de ameaças da Abnormal sobre operações cibernéticas alinhadas ao Irã.

Construído para operações de segurança, não apenas para dashboards

O novo Fluxo de Trabalho de Exceção permite que as equipes suprimam as descobertas de forma controlada: decisões de Risco Aceito com limite de tempo que expiram automaticamente, ou exceções permanentes de Exceção de Avaliações para posturas que não se aplicam. Toda exceção requer justificativa por escrito e fica em uma Linha do Tempo de Atividade imutável. Uma lógica de ordenação mais inteligente destaca primeiro os achados críticos e investigativos, e alertas de integração de plataforma notificam proativamente os administradores no momento em que um conector SPM para de funcionar. Sua equipe chega a cada auditoria com um registro defensável de quem aprovou o quê.

O que isso significa para a defesa do Microsoft 365

O incidente de Handala é um lembrete de que uma defesa forte contra phishing, embora essencial, não é toda a história. Quando os atacantes chegam por canais laterais, a contenção de danos depende se seu plano administrativo SaaS está configurado de forma suficientemente rígida para impedir que uma única conta comprometida tire a empresa do ar. Nos últimos seis meses, o SPM evoluiu para um componente contínuo, explicável e personalizável da moderna pilha de defesa do Microsoft 365, ao lado das defesas de e-mail recebido das quais mais de 4.500 clientes já dependem.