Depois do login: consentimentos e sessões também precisam de controlo

O que a síntese confirma — e o que não confirma

O CERT-EU publicou a versão 1 do Cyber Brief 26-09 em 3 de setembro de 2026. A edição cobre agosto e inclui temas de phishing e OAuth. Usamo-la como sinal para revisão de controlos, não como prova de que uma empresa portuguesa foi atacada ou de que um tipo de ataque aumentou numa percentagem determinada. Não reproduzimos atribuições ou casos sem o dossier independente que exigiriam.

O mecanismo é documentado separadamente. A Microsoft explica que o consent phishing procura levar o utilizador a conceder permissões a uma aplicação maliciosa. A MITRE descreve o roubo de tokens de acesso como técnica para usar recursos com os direitos associados. Nenhum destes conceitos se resume a descobrir uma palavra-passe.

A interpretação Velqory é que o inventário de identidades deve incluir as delegações feitas a aplicações. Um login aprovado responde a quem entrou; não responde, sozinho, a que software pode continuar a ler dados em nome dessa pessoa.

Uma revisão pequena, com três resultados verificáveis

Escolha uma aplicação que consulte correio ou documentos e uma conta de teste sem dados pessoais. A revisão proposta deve produzir um mapa de permissões, uma decisão sobre cada delegação e um ensaio de fecho. Não execute alterações no tenant de produção sem responsável e janela adequados.

No mapa, registe identificador da aplicação, finalidade, permissões solicitadas, quem consentiu e última utilização observável. Compare a necessidade de negócio com o acesso efetivo. Uma aplicação usada apenas para marcar reuniões deve ter uma justificação explícita para qualquer leitura mais ampla. Não trate o nome comercial ou a presença num catálogo como substitutos dessa avaliação.

O RFC 9700 recomenda limitar os privilégios dos tokens e os servidores a que se destinam. Para integrações próprias, isto transforma-se numa pergunta de engenharia: o serviço rejeita um token destinado a outro recurso? Nas aplicações compradas, peça ao fornecedor que explique o mecanismo e os limites, sem presumir que a configuração existe no plano contratado.

• Permissões: reconciliar a lista de aplicações com os consentimentos concedidos; atribuir um dono a cada delegação e rever as que perderam finalidade.
• Fecho: abrir uma sessão sintética, retirar o acesso pelo procedimento aprovado e verificar se a aplicação continua a aceitar pedidos; registar o tempo observado e a ação adicional necessária.
• Evidência: guardar app ID, operações verificadas, carimbos de tempo e resultado; nunca anexar tokens ou cookies completos ao ticket.

Perspetiva Velqory: revogado onde?

A documentação do Microsoft Entra distingue tokens do fornecedor de identidade de sessões emitidas pela própria aplicação. O Entra não revoga diretamente uma sessão que outra aplicação emitiu. Por isso, uma confirmação administrativa de revogação não deve encerrar automaticamente a tarefa: a equipa precisa de saber o que ainda é aceite a jusante e por quanto tempo.

Para a gestão, recomendamos um critério simples: a aplicação crítica só tem um procedimento de emergência completo quando existe uma pessoa capaz de o executar e uma prova de que o acesso termina nas condições documentadas. Se a aplicação não permite terminação imediata, registe essa limitação e a medida compensatória, em vez de prometer um botão universal.

Fontes e validade: CERT-EU para a edição, RFC 9700 e MITRE para os mecanismos, Microsoft para o comportamento do seu produto. Consulta em 6 de setembro de 2026. Não realizámos o ensaio descrito nem avaliámos um tenant. Rever quando mudarem o consentimento, o fornecedor de identidade ou a gestão de sessões.