A recuperação de contas da Microsoft é teatro de segurança

A conta Microsoft do meu filho foi sequestrada há algumas semanas, e desde então gastei uma quantidade absurda de tempo tentando convencer a Microsoft a devolvê-la.

Eu sei o ID da conta Microsoft. Eu controlo o endereço de e-mail usado como esse ID. Meu filho é uma criança dentro da minha conta do Microsoft Family Safety, na qual sou o organizador. Tenho o computador que ele usava, a senha anterior dele, os IDs dos dispositivos, os relatórios históricos do Family Safety, capturas de tela mostrando a conta antes e depois do comprometimento, e o endereço IP de onde ele normalmente a usava.

A Microsoft continua não recuperando a conta.

O problema não é falta de provas. O problema é que o sistema de recuperação da Microsoft não parece capaz de raciocinar sobre provas que fogem do seu roteiro. É aí que segurança deixa de ser segurança e vira teatro.

Como a conta foi sequestrada

Por privacidade, digamos que a conta Microsoft do meu filho seja [e-mail].

Não temos certeza de como exatamente o comprometimento aconteceu, mas acreditamos que possa ter começado com um golpe no Discord, onde meu filho pré-adolescente conversa com amigos sobre Minecraft e outros jogos.

Em algum momento, um invasor conseguiu acesso à conta Microsoft dele e substituiu as informações de recuperação. Agora, quando tentamos recuperar a conta, a Microsoft quer enviar o código de verificação para br***@securitylock24hrs.net.

Esse não é o nosso e-mail. É o do invasor. O mais estranho é que [e-mail] continua sendo a identidade de login da conta Microsoft. Nós controlamos essa conta do iCloud. O invasor não. Mesmo assim, a Microsoft não envia simplesmente uma mensagem de verificação para lá.

Em vez disso, o sistema de recuperação da Microsoft insiste em se comunicar pelas informações de segurança que o invasor alterou. O invasor compromete a conta, muda o endereço de recuperação, e então a Microsoft trata o endereço do invasor como mais legítimo do que o e-mail original que continua associado à conta.

É um arranjo bem confortável para o invasor.

Isso parece um padrão de ataque conhecido

Depois de ver securitylock24hrs.net, pesquisei o domínio e encontrei imediatamente outras pessoas relatando contas Microsoft comprometidas com endereços de recuperação exatamente no mesmo domínio. Várias discussões do Microsoft Q&A de 2026 descrevem usuários que de repente veem endereços desconhecidos em @securitylock24hrs.net após um comprometimento. Uma vítima descreveu especificamente o comprometimento acontecendo depois de um processo de verificação associado a um servidor de Minecraft no Discord.

Veja: Microsoft Q&A: securitylock24hrs.net

Há um padrão reconhecível:

• O dono original da conta perde o acesso.
• As informações de segurança são alteradas.
• Aparece um endereço de recuperação em securitylock24hrs.net.
• O dono legítimo fica impedido de usar os métodos normais de recuperação.

Isso deveria ser um sinal. Em vez disso, o sistema de recuperação da Microsoft trata o endereço recém-adicionado pelo invasor como legítimo.

Bem-vindo ao labirinto da recuperação

A Microsoft tem, sim, um processo de recuperação de conta. Na verdade tem vários, o que faz parte do problema. O formulário normal pede que você prove a propriedade fornecendo informações sobre a conta. A Microsoft diz que o formulário faz de propósito perguntas que só o dono deveria saber e recomenda enviá-lo de um dispositivo e local já usados antes.

Veja: Suporte da Microsoft: ajuda com o formulário de recuperação de conta

Parece razoável até você considerar que essa é a conta de uma criança. Meu filho nunca comprou nada por essa conta Microsoft, então não há histórico útil de cartão de crédito. Ele não usa o Outlook para e-mail, então não há assuntos de mensagens nem contatos para identificar. Ele não usa Xbox. É um garoto que tem uma conta Microsoft principalmente porque o Windows e o Minecraft querem que ele tenha uma.

Ainda assim, durante o processo de recuperação me pediram tudo o que segue:

• Número ACSR: enviei o formulário de recuperação quatro vezes e nunca recebi um. O processo pede um identificador que o próprio processo de recuperação deixou de fornecer.
• E-mail de contato, telefone, endereço IP, país, estado e CEP: fornecidos. Aparentemente não bastam.
• Informações de pagamento e comprovante de compra: não existem. Ele é uma criança e nunca comprou nada por essa conta.
• Nome e data de nascimento da criança: forneci o nome real, o apelido e o nick online. Não sei que data foi digitada anos atrás, e não consigo simplesmente ver nem conferir isso pelo Family Safety.
• Informações do Xbox: nenhuma. Ele não tem Xbox associado à conta.
• Data de criação da conta, último login e última troca de senha: estimados, porque a Microsoft conhece esse histórico e eu não o encontro no Family Safety.
• ID do dispositivo Windows: encontrei o identificador para o qual a Microsoft me direcionou dentro de um arquivo JSON e forneci. Também forneci o ID de dispositivo mais visível nas configurações do Windows. Ainda não é suficiente.

Em algum momento você precisa perguntar qual é o propósito de coletar todas essas informações se nenhuma delas consegue fazer o processo avançar.

A Microsoft já sabe que sou o pai dele

A conta do meu filho é uma conta infantil dentro da minha família no Microsoft Family Safety, e eu sou o organizador. A Microsoft descreve os organizadores como administradores dos grupos familiares. Organizadores podem gerenciar permissões, tempo de tela, filtros de conteúdo, gastos, consentimentos e relatórios de atividade.

Veja: Suporte da Microsoft: configurar o Microsoft Family Safety

Continuo recebendo semanalmente e-mails do Microsoft Family Safety sobre a conta do meu filho. Enviei esses relatórios à Microsoft, inclusive os de antes e depois do comprometimento. Mostrei a eles minha própria conta Microsoft e a relação dela com a dele. Mostrei o computador com Windows vinculado à conta. Esse computador agora pede repetidamente que meu filho entre de novo no Microsoft Family Safety, mas ele não consegue, porque a conta Microsoft dele foi sequestrada.

A Microsoft confia em mim o bastante para supervisionar a criança, aprovar compras, restringir aplicativos, monitorar atividade e gerenciar a vida digital dele, mas não o bastante para me ajudar a recuperar a conta. O Family Safety não me dá nenhuma forma de redefinir a conta Microsoft da criança. Se a Microsoft vai manter uma relação verificada entre pai e filho, a recuperação de conta é uma das situações mais importantes em que essa relação deveria valer.

Por que a Microsoft simplesmente não manda um e-mail para o endereço do iCloud?

Há aqui um argumento de segurança legítimo. A Microsoft distingue a identidade de login de uma conta das informações de segurança designadas. Um e-mail usado para entrar numa conta Microsoft não é automaticamente tratado como prova suficiente de que quem controla aquela caixa é dono da conta.

À primeira vista parece razoável. Você não quer que alguém assuma o controle de uma caixa externa e, com isso, tome também uma conta Microsoft. Mas a Microsoft já confia numa caixa externa como parte do processo de recuperação. Quando envia um código para um endereço de recuperação designado, ela está contando com outro provedor de e-mail para autenticar quem recebe a mensagem.

Não estou dizendo que controlar [e-mail] deveria autorizar automaticamente uma redefinição de senha em todos os casos. Estou dizendo que é uma prova forte, ainda mais combinada com tudo o que a Microsoft já sabe. No nosso caso, a Microsoft tem todos estes sinais:

• O endereço iCloud original associado à conta Microsoft e nosso controle contínuo sobre ele.
• Uma senha anterior da Microsoft, um dispositivo Windows conhecido e vários identificadores de dispositivo.
• A conta do pai vinculada pelo Microsoft Family Safety e anos de relatórios de atividade.
• O IP habitual da casa, informações geográficas e capturas de tela de antes e depois do comprometimento.
• Um endereço de recuperação usando um domínio publicamente associado a outros comprometimentos de contas Microsoft.

A resposta sensata em segurança não é que a conta do iCloud prova tudo. É que a conta do iCloud é um sinal forte entre muitos, e que o endereço de recuperação recém-alterado não deveria mais ser tratado como verdade inquestionável.

Sistemas de segurança precisam de uma saída de emergência para a realidade

A equipe de suporte da Microsoft parece seguir um roteiro. Não culpo o atendente individual por isso; ele provavelmente não tem permissão para se desviar. O problema é o roteiro.

A Microsoft parece ter desenhado a recuperação de contas principalmente para impedir ataques de engenharia social contra a Microsoft. Isso é compreensível. Se os atendentes pudessem redefinir contas livremente, invasores os bombardeariam com pedidos falsos. Então a Microsoft trancou o processo, tirou a discricionariedade dos representantes e automatizou boa parte da verificação.

Isso torna o processo difícil de explorar pelo atendimento. Mas a Microsoft tem outro modelo de ameaça a considerar: o que acontece quando o invasor já está dentro? Ele entra uma vez e muda as informações de segurança. Daquele momento em diante, a arquitetura da Microsoft passa a tratar a informação fornecida pelo invasor como parte do estado confiável da conta. Enquanto isso, o dono legítimo precisa reconstruir anos de metadados obscuros para satisfazer um sistema automatizado.

Numa conta infantil pouco usada, boa parte desses metadados sequer existe. O invasor precisa enganar o sistema uma vez. A vítima precisa provar a propriedade repetidas vezes.

Há maneiras óbvias de a Microsoft melhorar isso

• Tornar o Family Safety útil para recuperação. Uma relação verificada entre pai e filho deveria ser um sinal importante, com um fluxo autenticado pelo organizador.
• Preservar e usar o histórico das informações de segurança. Se um e-mail externo antigo some logo antes de uma tomada de conta, um investigador de fraude deveria conseguir ver esse histórico.
• Detectar domínios de recuperação sabidamente maliciosos. Um domínio repetidamente associado a tomadas de conta deveria disparar escrutínio adicional, não parecer uma atualização comum.
• Criar um caminho real de escalonamento. Não outro formulário, chatbot ou representante que não pode agir. Alguém deveria poder revisar o histórico completo da conta e julgar pela totalidade das provas.

Por que denunciei o domínio à Cloudflare

Também denunciei securitylock24hrs.net à Cloudflare. Eu não estava pedindo que a Cloudflare recuperasse a conta Microsoft. Estava reportando infraestrutura usada pelo invasor. Se um domínio é usado como parte de uma operação de tomada de contas, denunciá-lo às empresas que prestam serviços de rede para ele pode ajudar a fazer o abuso ser investigado, interrompido ou encaminhado ao provedor adequado.

O sistema de denúncia de abuso da Cloudflare rejeitou automaticamente minha submissão, aparentemente porque estava sobrecarregado. Também registrei uma denúncia no Internet Crime Complaint Center do FBI, o IC3, e entreguei esse relatório à Microsoft como documentação adicional de que eu estava afirmando formalmente o roubo da conta. Continuo sem a conta do meu filho de volta.

O frustrante é que isso deveria ter solução

Não estou pedindo que a Microsoft acredite na minha palavra. Que testem a conta do iCloud. Que testem minha conta Microsoft. Que testem o dispositivo Windows. Que comparem o histórico de IP. Que olhem o histórico do Family Safety, o momento da alteração das informações de segurança, o domínio de recuperação do invasor e a senha anterior. Que olhem tudo junto.

É isso que uma investigação de segurança deveria fazer. Em vez disso, o processo da Microsoft parece perguntar se consigo preencher caixas predeterminadas suficientes com exatamente a informação que o sistema automatizado espera. Não são a mesma coisa.

Segurança de verdade é avaliar risco e evidência. Segurança performática é seguir o procedimento. No momento, o processo de recuperação de contas da Microsoft parece muito mais o segundo. Para a conta desta criança, aparentemente foi mais fácil alguém no Discord roubá-la do que o pai dela conseguir recuperá-la. Esse não é um modelo de segurança bem-sucedido. É um modelo de segurança que, uma vez comprometido, protege o invasor.