Com mais de 430 milhões de usuários no mundo e presença consolidada em empresas de todos os portes, o Microsoft 365 se transformou na espinha dorsal da produtividade corporativa. No Brasil, a adoção segue acelerada: uma pesquisa da FGVcia, divulgada em junho de 2025, revelou que 40% das médias e grandes empresas brasileiras que utilizam inteligência artificial generativa já adotaram o Microsoft 365 Copilot, à frente de qualquer outra plataforma concorrente.

A suíte reúne e-mail, armazenamento em nuvem, comunicação por vídeo, automação de fluxos e, agora, agentes de inteligência artificial, tudo sob um único ecossistema. Mas o mesmo ecossistema que centraliza a operação também concentra a superfície de ataque.

Uma pesquisa da CoreView, publicada em março de 2026 com base em 500 líderes de TI de grandes empresas, mostrou que 45% sofreram ao menos um incidente de segurança ou conformidade causado por configuração incorreta do Microsoft 365 nos últimos doze meses. Quando a ferramenta mais usada do escritório se torna o vetor mais explorado pelos criminosos, proteger a operação deixa de ser uma tarefa de TI e passa a ser uma decisão estratégica.

Por que o Microsoft 365 se tornou o alvo preferido dos cibercriminosos

A resposta é simples: volume e valor. Uma única credencial comprometida do Microsoft 365 pode abrir acesso ao e-mail corporativo no Exchange Online, a documentos confidenciais no SharePoint e no OneDrive, a conversas internas no Teams e, dependendo do nível de privilégio, a configurações administrativas que controlam toda a empresa. Para o atacante, não é necessário explorar múltiplos sistemas. Basta uma senha fraca, um token de sessão roubado ou uma permissão excessiva, e o caminho até os dados mais sensíveis da empresa se encurta drasticamente.

O Microsoft Digital Defense Report de 2025, baseado na análise de mais de 100 trilhões de sinais diários, aponta que ataques baseados em identidade cresceram 32% no primeiro semestre de 2025, e mais de 97% desses ataques são tentativas simples de adivinhação de senha, como password spraying e credential stuffing. A plataforma bloqueia aproximadamente 7 mil ataques de senha por segundo, o que significa que o volume de tentativas contra contas do Microsoft 365 ocorre em escala industrial.

No contexto brasileiro, a vulnerabilidade é agravada pela adoção massiva e maturidade de segurança ainda desigual. A pesquisa da Vanson Bourne de 2025 indicou que 80% das empresas brasileiras sofreram ao menos um incidente cibernético nos últimos doze meses, enquanto dados do Check Point Research apontam mais de 2.831 ataques semanais por empresa no país. A popularidade do Microsoft 365 entre empresas brasileiras faz da plataforma um campo de operação natural para grupos criminosos que já conhecem suas fragilidades mais comuns.

Configurações incorretas: o risco silencioso no Microsoft 365

Se vulnerabilidades de software ganham manchetes e patches corretivos, as configurações incorretas operam na sombra. Não existe atualização que corrija uma política de acesso condicional mal definida, uma conta de administrador global compartilhada entre vários técnicos ou uma regra de encaminhamento de e-mail esquecida.

A pesquisa da CoreView de 2026 revelou dados que ilustram a gravidade do problema: 90% das grandes empresas analisadas, em uma base de 1,6 milhão de usuários do Microsoft 365, não conseguem aplicar controles de segurança básicos de forma consistente, incluindo políticas de senha e monitoramento de tentativas de login falhas. Em média, cada empresa registra mais de 140 mil tentativas de login malsucedidas por semana, gerando um volume de alertas que sobrecarrega equipes de TI e esconde ameaças reais em meio ao ruído.

O problema se agrava quando a complexidade do próprio Microsoft 365 supera a capacidade operacional da equipe que o administra. A plataforma cresceu de forma acelerada nos últimos anos, incorporando dezenas de serviços interconectados, do Exchange Online ao Power Platform, do Intune ao Purview.

Cada serviço traz seu próprio conjunto de configurações, permissões e políticas. A mesma pesquisa da CoreView identificou que 45% das empresas não possuem visibilidade e controle completos sobre o próprio ambiente Microsoft 365, o que significa que quase metade opera com pontos cegos que os atacantes exploram sem dificuldade.

As configurações incorretas mais comuns formam um padrão previsível. Contas de administrador global em excesso, muitas vezes utilizadas para tarefas do dia a dia e expostas a phishing. Autenticação multifator não imposta de forma universal, deixando brechas em protocolos legados como POP e IMAP, que não suportam MFA.

Compartilhamento externo irrestrito no SharePoint e no OneDrive, permitindo que documentos confidenciais sejam acessados por qualquer pessoa com o link. Regras de encaminhamento de e-mail criadas silenciosamente por atacantes após o comprometimento de uma conta, exfiltrando informações sem que a vítima perceba. Cada uma dessas falhas, isoladamente, parece um descuido menor. Combinadas, formam a porta de entrada para comprometimento de e-mail corporativo, exfiltração de dados e, em casos cada vez mais frequentes, ransomware.

Ataques de identidade e comprometimento de e-mail corporativo

O comprometimento de e-mail corporativo, conhecido pela sigla BEC, permanece como uma das ameaças mais custosas para empresas em todo o mundo. Dados do FBI, por meio do Internet Crime Complaint Center, indicam que os prejuízos ajustados por BEC ultrapassaram 2,7 bilhões de dólares somente em 2024.

O relatório da LevelBlue SpiderLabs, publicado em janeiro de 2026, registrou um aumento de 15% nos ataques de BEC ao longo de 2025, com uma média superior a 3.000 mensagens maliciosas interceptadas por mês. O dado mais alarmante, porém, é a velocidade: após capturar as credenciais de uma vítima, os atacantes conseguem criar regras de encaminhamento de caixa de entrada em apenas 14 minutos, iniciando a exfiltração de informações antes que qualquer alerta manual tenha tempo de ser analisado.

A sofisticação desses ataques acompanha a industrialização do cibercrime. Plataformas de phishing como serviço, conhecidas como PhaaS, oferecem kits completos que automatizam campanhas internas e conseguem capturar não apenas credenciais, mas tokens de sessão, contornando até mesmo a autenticação multifator.

Em outubro de 2025, o Microsoft Defender for Office 365 bloqueou mais de 13 milhões de e-mails vinculados a uma única plataforma PhaaS, que gerava mensagens projetadas para parecer comunicações internas da própria empresa, utilizando o mesmo domínio nos campos de remetente e destinatário. Esse tipo de campanha explora rotinas do ambiente corporativo, como alertas de correio de voz, notificações de recursos humanos e redefinição de senhas, temas familiares o suficiente para que o colaborador clique sem desconfiar.

O impacto vai além da perda financeira direta. Um ataque de BEC bem-sucedido sinaliza fragilidade nos controles de segurança da empresa, atraindo novas tentativas de outros grupos criminosos. Quando a origem do ataque é uma conta interna comprometida, a detecção se torna ainda mais difícil, porque o e-mail vem de um remetente legítimo e confiável.

Ferramentas tradicionais de segurança de e-mail, incluindo o próprio Exchange Online Protection nativo do Microsoft 365, frequentemente classificam essas mensagens como limpas, justamente porque não apresentam os sinais convencionais de conteúdo malicioso, como links suspeitos ou anexos infectados.

Ransomware híbrido e a nova fronteira de ataques no Microsoft 365

O ransomware deixou de ser exclusivamente um problema de endpoints e servidores locais. O Microsoft Digital Defense Report de 2025 apontou que mais de 40% dos ataques de ransomware agora envolvem componentes híbridos, combinando infraestrutura local e nuvem, um salto expressivo em relação aos menos de 5% registrados em 2023.

Paralelamente, a telemetria do Microsoft Defender for Cloud revelou um aumento de 87% nas campanhas destrutivas em ambientes Azure, incluindo ações de exclusão em massa de dados e implantação de ransomware diretamente na nuvem.

Grupos como o Storm-0501, rastreado pela própria inteligência de ameaças da Microsoft, exemplificam a evolução dessas operações. A tática do grupo consiste em comprometer o ambiente Active Directory local, escalar privilégios em identidades híbridas sincronizadas com o Microsoft Entra ID e, a partir daí, obter acesso de administrador global ao ambiente de nuvem. Com esse nível de controle, o atacante exfiltra volumes massivos de dados do SharePoint e do OneDrive, destrói backups armazenados na nuvem e exige resgate, tudo sem implantar malware tradicional em endpoints. A própria infraestrutura nativa do Microsoft 365 é utilizada como arma contra a empresa que a opera.

O relatório da Hornetsecurity sobre o impacto do ransomware em 2025 corrobora essa tendência ao registrar que 24% das empresas sofreram um ataque de ransomware no período, acima dos 18,6% do ano anterior, revertendo três anos consecutivos de queda.

Embora o percentual de pagamento de resgate tenha diminuído, sinal de que estratégias como backup imutável estão funcionando, os atacantes responderam adaptando a abordagem: em vez de apenas criptografar dados, a prioridade agora é exfiltrar informações e destruir cópias de segurança na nuvem antes de iniciar qualquer negociação. Para empresas que operam em ambientes híbridos, com o Microsoft 365 conectado a servidores locais e ao Azure, a superfície de ataque se expande consideravelmente, e a segurança precisa abranger toda a cadeia, do endpoint à nuvem.

Como estruturar a proteção do Microsoft 365 na prática

A proteção eficaz do Microsoft 365 não se resume a ativar funcionalidades nativas e esperar que funcionem sozinhas. Exige uma abordagem estruturada que combine governança de identidade, monitoramento contínuo, políticas de acesso e uma camada de detecção e resposta capaz de operar em velocidade compatível com a dos atacantes. O ponto de partida é a identidade: impor autenticação multifator resistente a phishing para todos os usuários, sem exceção, e eliminar protocolos legados que permitam login apenas com senha.

O próprio relatório de defesa digital da Microsoft estima que a MFA bloqueia mais de 99% dos ataques baseados em identidade, o que torna incompreensível que tantas empresas ainda operem com essa proteção desabilitada ou parcialmente configurada.

A governança de privilégios é o segundo pilar. Minimizar o número de contas com permissão de administrador global, adotar o princípio do menor privilégio para todos os acessos e implementar revisões periódicas de permissões reduz drasticamente o raio de impacto de uma credencial comprometida.

O Microsoft Entra ID oferece recursos como Privileged Identity Management, que permite ativar privilégios administrativos apenas quando necessário e por tempo limitado, mas essas funcionalidades exigem configuração intencional e revisão contínua. Da mesma forma, políticas de acesso condicional devem ser calibradas para restringir login fora de dispositivos gerenciados, bloquear conexões de regiões geográficas inesperadas e exigir verificação adicional diante de sinais de risco, como viagens impossíveis ou comportamento anômalo.

O terceiro pilar envolve proteção de dados e monitoramento do ambiente. Políticas de prevenção contra perda de dados, aplicadas ao Exchange Online, ao SharePoint e ao Teams, precisam estar em modo de imposição, não apenas em modo de alerta. Regras de compartilhamento externo devem ser restritivas por padrão, com exceções documentadas e auditáveis.

A detecção de ameaças precisa operar de forma integrada, correlacionando eventos de identidade, e-mail, endpoints e nuvem em uma única camada de visibilidade. Para a maioria das empresas, especialmente aquelas que não possuem um centro de operações de segurança interno, delegar essa operação a um parceiro especializado com capacidade de monitoramento contínuo é a forma mais realista de manter a proteção em escala compatível com a complexidade do ambiente.

Proteção que acompanha a complexidade

O Microsoft 365 continuará sendo a base da operação corporativa para a maioria das empresas, e sua adoção tende a se aprofundar à medida que agentes de inteligência artificial e novas funcionalidades ampliam o ecossistema. A questão não é se a empresa deve usar a plataforma, mas se possui a governança, a visibilidade e a capacidade de resposta necessárias para operar nela com segurança.

As ameaças evoluíram do phishing genérico para operações industrializadas de comprometimento de identidade e ransomware híbrido, capazes de explorar em minutos as mesmas configurações incorretas que permaneceram meses sem correção. Proteger o Microsoft 365 não é mais uma questão de ativar funcionalidades nativas. É uma decisão sobre quem monitora, quem responde e com que velocidade a empresa reage quando a prevenção falha.