Solicitação falsa de consentimento OAuth ao lado de um celular, escudo de segurança, chave e aplicativo suspeito
← Brasil
Brasil

Phishing de consentimento OAuth: revogue o app antes de trocar a senha

Saiba identificar phishing de consentimento OAuth, revogar um app malicioso no Google ou Microsoft e proteger sua conta passo a passo.

Equipe editorial da Rampart Brasil · ·

A resposta curta

O phishing de consentimento OAuth tenta fazer você autorizar um aplicativo malicioso dentro de uma tela verdadeira do Google, da Microsoft ou de outro provedor. O app não precisa descobrir sua senha se você conceder permissão para ler emails, acessar arquivos ou usar outros dados da conta.

Se você tocou em Permitir, revogue primeiro o acesso do aplicativo. Depois troque a senha, encerre as outras sessões e revise a atividade da conta. A troca de senha continua importante, mas pode não invalidar sozinha o token OAuth entregue ao app.

Em 1º de setembro de 2026, o FBI alertou sobre ações observadas desde o fim de 2025. As mensagens se passam por autoridades, jornalistas, figuras públicas, serviços de compartilhamento de arquivos ou organizadores de eventos. Leia o aviso do FBI.

Como o golpe funciona

  1. Chega um email ou uma mensagem inesperada para revisar um arquivo, aceitar um convite, confirmar sua identidade ou entrar em um serviço.
  2. O link pode usar um endereço parecido, um encurtador ou até parte de um serviço legítimo.
  3. Surge uma página verdadeira do Google ou da Microsoft. Isso confirma quem opera o login, não que o app de terceiros seja confiável.
  4. O aplicativo pede acesso a email, Drive, OneDrive, contatos, calendário ou dados do perfil.
  5. Ao escolher Permitir, você autoriza o provedor a emitir um token com aqueles privilégios.
  6. O acesso pode continuar até a revogação do consentimento ou o vencimento do token.

OAuth é um sistema legítimo. O golpe está na história usada para levar você a aprovar um app inesperado ou permissões que não combinam com a tarefa.

Uma tela verdadeira não prova que o app é seguro

A Microsoft explica que o phishing de consentimento aproveita a própria plataforma de identidade para exibir a solicitação. Por isso, confira o desenvolvedor, o endereço associado e principalmente a lista de permissões. A orientação da Microsoft recomenda comparar o que o aplicativo pede com o trabalho que ele deveria fazer.

Em 8 de setembro de 2026, a autoridade mexicana de proteção ao consumidor financeiro, CONDUSEF, alertou que links enviados por SMS, email, WhatsApp e redes sociais podem levar a sites ou aplicativos inseguros usados para obter dados pessoais ou financeiros. A orientação é evitar o link da mensagem, baixar aplicativos apenas pela App Store ou Google Play, conferir o desenvolvedor e confirmar a solicitação por um canal oficial aberto por você. Esse alerta do México trata de segurança na instalação de aplicativos. Ele não comprova uma campanha específica de phishing OAuth no Brasil ou em outro país, mas reforça uma verificação útil antes de uma mensagem levar você a um app ou tela de consentimento. Leia o alerta da CONDUSEF.

Permissão solicitadaPor que parar
Ler, enviar, editar ou excluir emailRevisar um documento raramente exige controle da caixa inteira.
Ler ou alterar todos os arquivosUm arquivo compartilhado não deveria exigir acesso a toda a nuvem.
Contatos ou calendárioA permissão precisa ter relação clara com a tarefa.
Administrar usuários ou a organizaçãoFazer login não é o mesmo que administrar uma conta ou empresa.
Desenvolvedor ou site diferente do esperadoA divergência exige confirmação por outro canal.

Antes de tocar em Permitir

Se quiser checar a primeira etapa, veja como verificar um link sem clicar.

O que fazer de acordo com a sua ação

Feche a página. Entre na conta pelo aplicativo oficial ou digitando o endereço do provedor. Revise apps conectados, sessões, dispositivos e alterações de segurança. Guarde a mensagem e o link como evidência.

Você digitou senha ou código

Troque a senha no site verdadeiro. Encerre as outras sessões, confira email e telefone de recuperação, revise os métodos de autenticação e altere a senha de qualquer conta onde ela foi reutilizada. Se a conta for profissional, avise a equipe de segurança ou TI imediatamente.

Você tocou em Permitir

Revogue o aplicativo primeiro. Em seguida, troque a senha, encerre sessões, revise a recuperação e procure mudanças no email, nos arquivos e no calendário. A revogação corta o acesso delegado. A nova senha protege a conta caso suas credenciais também tenham sido expostas.

Google

Abra sua Conta do Google digitando o endereço no navegador. Na área de conexões com apps de terceiros, selecione o aplicativo e toque em Ver detalhes. Escolha Remover acesso. Se for uma conexão Entrar com o Google, o controle pode aparecer como Parar de usar o recurso Entrar com o Google. O Google explica como gerenciar essas conexões.

Microsoft

Em uma conta corporativa ou escolar, abra o portal Meus Aplicativos da Microsoft, selecione o app desconhecido, acesse Gerenciar seu aplicativo e use Revogar permissões quando você tiver aprovado o acesso. Se o consentimento foi dado por um administrador, peça à equipe de TI que revise o app no Microsoft Entra ID.

Em uma conta pessoal, digite account.microsoft.com e abra Privacidade > Visão geral > Outras configurações de privacidade > Aplicativos e serviços > Aplicativos e serviços que podem acessar seus dados. Selecione o app e remova as permissões. A Microsoft documenta essa rota.

Apple

A lista Iniciar sessão com a Apple controla outro tipo de conexão. No iPhone ou iPad, abra Ajustes > seu nome > Iniciar sessão com a Apple, escolha o app ou desenvolvedor e toque em Apagar. Veja as instruções da Apple. Essa ação não revoga tokens do Google ou da Microsoft.

Depois de revogar o acesso

Revise logins recentes, dispositivos, endereços de recuperação, chaves-senha e autenticadores. No email, procure encaminhamentos, filtros, mensagens enviadas, mensagens apagadas e delegações que você não reconhece. Verifique também arquivos compartilhados, calendários e contatos.

O Ministério das Comunicações recomenda alterar senhas, falar com a instituição financeira quando houver movimentação suspeita, acompanhar as contas e registrar boletim de ocorrência conforme o caso. Guarde mensagens, links e capturas de tela. Leia a orientação brasileira sobre phishing. Fraudes que afetam órgãos do SISP também podem ser encaminhadas pelo canal oficial do CISC.

O que aconteceuPrimeira açãoDepois
Apenas abriu o linkFeche e acesse o provedor diretamenteRevise sessões e apps conectados
Digitou senha ou códigoTroque a senha no site verdadeiroEncerre sessões e revise a recuperação
Tocou em PermitirRevogue o app ou consentimentoTroque a senha e confira a atividade
Baixou app ou arquivoPare de usar o item baixadoFaça uma verificação do dispositivo

Por que a conexão OAuth do Rampart é diferente

OAuth não é um sinal de golpe por si só. Quando você conecta Gmail ou Outlook ao Rampart, o Google ou a Microsoft apresenta a própria tela oficial. O Rampart não pede a senha dessas contas. Antes de aceitar, confirme que a tela mostra Rampart e que o acesso corresponde à proteção de email.

O Rampart usa acesso somente leitura. Ele analisa sinais de phishing em remetentes, domínios, links, anexos e texto da mensagem. O conteúdo do email é processado temporariamente para a análise de risco e depois descartado. O Rampart não pode enviar, apagar ou alterar seus emails.

O Rampart passou pela avaliação Cloud Application Security Assessment (CASA) Tier 2 para as integrações de email. O CASA Tier 2 é uma avaliação verificada em laboratório dos requisitos aplicáveis ao app, à infraestrutura e, quando pertinente, ao armazenamento de dados. A App Defense Alliance descreve os níveis de garantia. A avaliação é uma evidência relevante sobre a segurança da integração, mas não substitui a leitura de cada tela de consentimento.

O Rampart não inspeciona autorizações OAuth de outros aplicativos, não revoga tokens nem administra sua conta do Google ou da Microsoft. Ele pode ajudar a sinalizar o SMS ou email suspeito que tenta levar você até essa autorização.

Perguntas frequentes

O phishing OAuth rouba minha senha?

Não necessariamente. O provedor pode autenticar você e entregar ao app o token e as permissões aprovadas. Mesmo assim, revise as credenciais porque uma campanha pode combinar o consentimento malicioso com uma página falsa.

Trocar a senha remove o aplicativo malicioso?

Nem sempre. Um token delegado pode continuar ativo após a troca. Revogue o app, altere a senha e revise sessões, recuperação e atividade.

A verificação em duas etapas impede esse golpe?

Ela bloqueia muitos ataques baseados apenas em senha, mas não impede uma pessoa de autorizar um app depois de entrar corretamente. A revisão das permissões e a revogação continuam necessárias.

Leia também

Fontes