O verdadeiro motivo pelo qual sua caixa de entrada pode estar recebendo e-mails "oficiais" da Microsoft — e eles são golpes

Você já recebeu um e-mail da Microsoft avisando sobre uma transação suspeita ou uma mensagem privada esperando por você? Parecia oficial, vinha de um endereço de e-mail legítimo, mas algo te fez desconfiar. Se sim, você não está sozinho — e o pior: a própria Microsoft está, sem querer, ajudando os criminosos.

O e-mail que veio de dentro de casa

Por meses, golpistas têm explorado uma brecha no sistema da Microsoft que permite enviar e-mails fraudulentos diretamente do endereço oficial da empresa. O endereço usado? msonlineservicesteam@microsoftonline.com — o mesmo que a Microsoft utiliza para enviar códigos de autenticação de dois fatores e alertas críticos sobre sua conta.

Isso significa que, quando você vê aquele e-mail no topo da sua caixa de entrada, com o logo da Microsoft e um tom de urgência, seu cérebro já associa à confiança. E é exatamente aí que a armadilha se fecha.

Como eles fazem isso? A resposta é assustadora

Não está claro o mecanismo exato, mas os criminosos conseguem criar novas contas na Microsoft como se fossem clientes legítimos. A partir daí, eles usam essa conta para disparar e-mails em massa com links para sites de golpe. O resultado? Você recebe um alerta falso de transação fraudulenta ou uma mensagem privada que o leva a um site que tenta roubar seus dados.

O pior: a Microsoft parece não ter controle sobre o problema. O Spamhaus Project, organização sem fins lucrativos que combate spam, já reportou o caso há meses, mas a empresa ainda não se pronunciou oficialmente.

Não é só a Microsoft: o problema é sistêmico

E não para por aí. Outros usuários estão relatando que golpes semelhantes estão sendo feitos usando e-mails de outras grandes empresas, como a Namecheap. Isso indica que a vulnerabilidade não é exclusiva da Microsoft — mas é a mais perigosa, justamente por usar um canal de comunicação tão confiável.

No começo do ano, hackers invadiram a plataforma da fintech Betterment para enviar notificações falsas prometendo triplicar criptomoedas. Em 2023, o mesmo aconteceu com a Namecheap. O padrão é claro: quem tem acesso a sistemas de notificação interna pode enganar qualquer um.

O que isso significa para você a partir de agora?

A lição é dura, mas necessária: nunca confie cegamente no remetente de um e-mail, mesmo que ele pareça oficial. Sempre desconfie de links que pedem ação imediata, especialmente se envolvem dinheiro, senhas ou dados pessoais. A Microsoft, até o momento, não confirmou se corrigiu a falha. Enquanto isso, a única barreira entre você e o golpe é o seu próprio olhar crítico.

O alerta está dado. Agora, cabe a você não clicar.