Uma ferramenta de hacking com IA disparou 2,900 tentativas de login por minuto: a autenticação de dois fatores está ativada nas contas da sua empresa?

ARTEX, uma ferramenta de hacking que executa seus ataques com agentes de IA, está agora ao alcance de qualquer atacante: em 5 de novembro de 2026 a Censys contou mais de 1,465 servidores expostos na internet rodando a ferramenta, e um grupo ligado à China já a usou numa campanha de adivinhação de senhas que chegou a um pico de 2,900 tentativas de login por minuto. A proteção mais barata e rápida é a autenticação de dois fatores: um estudo da Microsoft concluiu que ela reduz o risco de invasão de uma conta em 99.22%. Faça três coisas nesta semana: torne a autenticação de dois fatores obrigatória em todas as contas de e-mail e de administração, desligue os protocolos de e-mail legados e peça um relatório de quem ainda não se cadastrou. Se a sua empresa conecta aplicativos externos ao Microsoft 365, leia também nosso artigo sobre a invasão da ConnectWise, porque essa brecha não é fechada só com a autenticação de dois fatores.

O que é o ARTEX e por que isso importa para você?

ARTEX é um framework de código aberto para testes de invasão automatizados que seu desenvolvedor publicou no GitHub em 26 de julho de 2026. Segundo o relatório da Censys publicado em 5 de novembro de 2026, um agente de IA planeja o ataque e o divide em tarefas, outros agentes executam as ferramentas de varredura e devolvem os resultados, e o ciclo se repete até atingir o objetivo. A Microsoft descreve a ferramenta como capaz de conduzir um ataque do reconhecimento ao roubo de dados com pouca intervenção humana.

Depois que seu uso em ataques reais veio à tona, o desenvolvedor anunciou que ela passaria a ter código fechado e removeu o repositório, mas cópias arquivadas e versões renomeadas continuam circulando. A Censys contou cerca de 815 implantações independentes depois de remover os servidores com configuração idêntica, incluindo 726 servidores nos Estados Unidos, 387 em Hong Kong e 177 na China. Na prática, o que antes exigia uma equipe de atacantes agora exige uma pessoa e uma ferramenta gratuita.

O que os atacantes realmente fizeram com ela?

No relatório publicado em 21 de outubro de 2026, a Microsoft documentou uma campanha do grupo que ela rastreia como Storm-0940, que usou o ARTEX para adivinhar senhas automaticamente entre 10 e 14 de outubro:

• 327 contas em 8 organizações sofreram pulverização de senhas, ou seja, a tentativa de senhas comuns em muitas contas.
• Mais de 151,000 logins com falha, mais de 111,000 deles em um único dia, com pico de 2,900 tentativas por minuto em 11 de outubro.
• 48 contas receberam, cada uma, mais de 1,000 tentativas com falha.
• Em outros ataques do mesmo grupo, passaram-se menos de 3 horas entre o primeiro alvo e o acesso privilegiado à infraestrutura de nuvem.

A Microsoft diz não ter visto nenhum login bem-sucedido dessa campanha específica, porque o bloqueio de contas absorveu a maior parte dela. Mas o TechCrunch resumiu em 6 de novembro que muitos desses ataques exploraram fraquezas simples: senhas fracas ou conhecidas e a falta de autenticação multifator.

Por que só a senha já não basta

Não basta. Uma máquina não cansa nem dorme, e qualquer conta com senha reutilizada ou já vazada será testada mais cedo ou mais tarde. A autenticação de dois fatores acrescenta um segundo fator que o atacante não tem: um código em um aplicativo no celular do funcionário, uma chave de segurança ou uma chave de acesso. Pesquisadores da Microsoft analisaram contas reais com atividade suspeita e constataram, em seu estudo publicado, que a autenticação de dois fatores reduz o risco de invasão em 99.22%, e em 98.56% mesmo quando a senha já vazou. Também verificaram que aplicativos autenticadores superam os códigos por SMS, embora ambos sejam muito melhores do que nada.

Um alerta importante da documentação da Microsoft: protocolos de e-mail legados como IMAP, POP3 e SMTP não suportam a autenticação de dois fatores, então um atacante pode entrar por eles e contornar toda a proteção. A ativação só está completa quando eles são desligados.

O que dizem os controles da Autoridade Nacional de Cibersegurança?

Os Controles Essenciais de Cibersegurança ECC-2:2024 emitidos pela Autoridade Nacional de Cibersegurança (NCA) da Arábia Saudita exigem a autenticação multifator em pelo menos três pontos:

• Controle 2-2-3-2: para acesso remoto e para contas privilegiadas.
• Controle 2-4-3-2: para acesso remoto e via webmail ao e-mail.
• Controle 2-15-3-5: para o acesso dos usuários a aplicações web externas.

Os controles são obrigatórios para órgãos do governo, suas empresas afiliadas e entidades privadas que possuem, operam ou hospedam infraestrutura nacional crítica, e a Autoridade incentiva fortemente todas as demais entidades do Reino a usá-los. Se você presta serviços a um órgão do governo, espere ser questionado sobre eles nas avaliações de fornecedores.

Passos para ativar nesta semana

• Microsoft 365: no centro de administração do Microsoft Entra, abra Entra ID, depois Overview, depois Properties, depois Manage security defaults, e ative-os. Os padrões de segurança são gratuitos, não exigem licença extra, impõem a autenticação de dois fatores aos administradores e bloqueiam protocolos legados. A Microsoft recomenda duas contas de administração de emergência não vinculadas a nenhum funcionário para que você nunca fique trancado do lado de fora.
• Google Workspace: em Menu, depois Security, depois Authentication, depois 2-step verification, primeiro permita que a equipe se cadastre e depois imponha a partir de uma data definida. O Google permite um período de cadastro para novos usuários de 1 dia a 6 meses, e você pode exigir chaves de segurança ou chaves de acesso para diretoria e finanças.
• Prioridade: comece pelas contas de administração, finanças e e-mail, depois o restante da equipe e, em seguida, outros sistemas como o sistema contábil, a loja virtual e os painéis de hospedagem.
• Acompanhamento: peça um relatório semanal de quem não se cadastrou e não abra exceções, a não ser temporárias e com justificativa por escrito.

A visão da Origami

O que mudou não foi o tipo de ataque, já que adivinhar senhas é antigo, mas o seu custo: agora é automatizado, barato e acessível a qualquer um. Uma empresa cujo e-mail e sistema contábil ainda abrem só com uma senha está apostando que o atacante nunca vai chegar, e essa aposta se perde com o tempo.

Por isso, todo sistema que a Origami entrega é construído para que o login passe por pelo menos dois fatores, ligado ao login único quando a empresa já tem uma conta Microsoft ou Google, como explicamos em nosso artigo sobre autenticação segura e SSO. Se quiser revisar como sua equipe entra nos seus sistemas, ou ligá-los a uma única conta protegida, fale conosco.

Conclusão

Uma ferramenta de ataque com IA gratuita agora testa milhares de senhas por minuto sem se cansar. A autenticação de dois fatores, junto com o desligamento dos protocolos legados, fecha a maior parte dessa porta, e pode ser ativada no Microsoft 365 e no Google em poucos dias sem custo extra. Comece hoje pela diretoria e pelas finanças, e não espere sua conta aparecer na lista de vítimas do próximo relatório.

Fontes

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 de outubro de 2026
• Censys: relatório sobre o ARTEX e servidores expostos, 5 de novembro de 2026
• Autoridade Nacional de Cibersegurança (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 de novembro de 2026