Em fevereiro de 2026, foi documentado o primeiro caso conhecido de um add-in malicioso do Outlook, batizado de "AgreeToSteal". O ataque explorou um complemento legítimo que havia sido abandonado pelo desenvolvedor e que, por isso mesmo, tornou-se um alvo fácil. Depois de sequestrado, o complemento passou a interceptar credenciais Microsoft e extrair dados financeiros e de pagamento. Mais de 4.000 contas foram comprometidas, conforme reportado pelo The Hacker News.
O episódio trouxe à tona um problema estrutural presente em boa parte dos ambientes corporativos: a falta de controle formal sobre extensões e integrações com acesso a dados sensíveis.
Add-ins são instalados com frequência para aumentar produtividade e conectar sistemas. O problema é que, quando ficam de fora do inventário oficial e não passam por revisões periódicas, acabam operando sem nenhuma supervisão real e esse ponto cego é exatamente o que casos como o AgreeToSteal exploram.
Por que extensões se tornaram um vetor de ataque relevante
Extensões e complementos funcionam com permissões concedidas pelo próprio usuário ou pela organização. Quando integrados a ferramentas de e-mail, CRM ou colaboração, esses componentes podem acessar dados sensíveis, tokens de autenticação e informações estratégicas do negócio.
No caso AgreeToSteal, não houve exploração direta de uma falha técnica no Outlook. O vetor foi a confiança depositada em um complemento que, até pouco tempo, era legítimo. O desenvolvedor o havia abandonado e alguém percebeu a janela aberta.
O mecanismo se assemelha a ataques de supply chain: a ameaça não vem de fora do ecossistema, ela se infiltra por dentro, por meio de componentes que a organização já considera confiáveis. Sem inventário atualizado e monitoramento contínuo, esses componentes podem operar por meses sem que ninguém perceba.
Integrações e a ampliação da superfície de ataque
Ambientes corporativos modernos são compostos por aplicações interconectadas, APIs e serviços integrados. Cada extensão adicionada amplia a superfície exposta da organização e, na maioria dos casos, sem que isso fique visível para quem cuida da segurança.
Quando não existe um processo estruturado de aprovação e revisão, complementos tendem a:
- Operar com permissões além do que realmente precisam
- Manter acesso a dados sensíveis por tempo indeterminado
- Permanecer ativos muito depois de se tornarem obsoletos
- Ficar disponíveis para reaproveitamento por agentes maliciosos
O risco deixa de ser um problema da aplicação central e passa a envolver tudo que está conectado a ela.
Governança de ativos digitais como mecanismo de controle
Mitigar esse tipo de risco não é, essencialmente, um problema de ferramenta. É um problema de maturidade em governança.
Extensões e integrações precisam constar formalmente no inventário de ativos da organização e passar pelos mesmos critérios de classificação, revisão e controle aplicados a sistemas críticos. Tratá-las como itens secundários é o que cria as brechas.
Na prática, isso significa:
- Ter um processo formal de aprovação antes de qualquer extensão ser instalada
- Incluir complementos no inventário oficial de ativos digitais
- Prover loja interna de aplicativos autorizados pela Corporação
- Revisar periodicamente quais add-ins estão ativos no ambiente
- Remover extensões abandonadas ou sem uso ativo
- Limitar permissões ao mínimo necessário para a função
- Monitorar comportamentos anômalos associados a integrações
A conexão com a gestão de risco corporativo
Extensões acessam dados, interagem com identidades e executam funções com impacto direto em processos críticos. Mas, na maior parte das organizações, ficam fora do escopo formal de governança de ativos.
Isso cria uma zona cinzenta real: aplicações principais estão inventariadas, classificadas e sujeitas a revisão. Já os complementos que operam ao lado delas, muitas vezes com permissões equivalentes, não passam pelo mesmo rigor. Dois componentes com níveis de acesso parecidos acabam tratados de formas completamente distintas.
O caso AgreeToSteal ilustra bem esse ponto. O risco não veio de uma falha na plataforma. Veio da ausência de visibilidade sobre um componente que já estava integrado ao ecossistema corporativo há tempo suficiente para ninguém mais questionar sua presença.
Considerações finais
Existe uma tendência clara no cenário atual de ameaças: ataques exploram relações de confiança, integrações consolidadas e componentes que as organizações já incorporaram à rotina sem questionamento.
Plataformas como Microsoft 365 e Google Workspace viraram hubs centrais de operação. Add-ins, APIs e integrações tornam esse ecossistema mais funcional e conectado, mas também mais distribuído e difícil de controlar. Esse dinamismo exige disciplina estrutural em governança, não apenas boas intenções.
Cada extensão autorizada é uma decisão de arquitetura. Deve ser tratada como tal: com classificação, revisão periódica, avaliação de permissões e monitoramento comportamental.
Na Taura, ajudamos empresas a construir essa cultura e disciplina, alinhando arquitetura tecnológica, gestão de risco e processos de controle de forma integrada. Segurança estratégica começa com visibilidade real do que está rodando no seu ambiente.
Fale com um dos nossos especialistas.
