Microsoft alertam para ataques que usam o Teams como porta de entrada
A Microsoft e o Centro de Cibersegurança da Bélgica emitiram alertas sobre campanhas criminosas que exploram o Microsoft Teams para aplicar golpes corporativos. Os ataques combinam engenharia social, falsificação de identidade e abuso dos recursos de comunicação externa da plataforma para induzir funcionários a transferir dinheiro, revelar informações sensíveis ou instalar programas maliciosos.
A iniciativa belga Safeonweb informou ter recebido diversos relatos de fraudes direcionadas a executivos e organizações. Nesse tipo de ocorrência, o criminoso entra em contato com um funcionário pelo Teams e se apresenta como CEO, diretor, acionista ou outro profissional com autoridade dentro da empresa.
Para tornar a abordagem mais convincente, os fraudadores costumam demonstrar conhecimento sobre a estrutura interna da companhia. Eles podem citar nomes de gestores, departamentos, reuniões, projetos em andamento ou procedimentos administrativos. Essas informações podem ter sido obtidas em redes sociais, páginas institucionais, vazamentos de dados ou pesquisas sobre a organização.
Depois de estabelecer confiança, o golpista apresenta uma solicitação urgente. Entre os pedidos mais comuns estão a realização de pagamentos, a alteração de dados bancários de fornecedores, o envio de documentos, o compartilhamento de credenciais e o fornecimento de informações financeiras ou estratégicas. A pressão por rapidez é usada para impedir que a vítima confirme a ordem por meios tradicionais.
Falsos técnicos também utilizam a plataforma
A Microsoft identificou uma campanha semelhante, mas baseada na impersonificação de equipes de suporte técnico. Os contatos são iniciados a partir de um tenant externo, ou seja, de um ambiente do Teams que não pertence à organização da vítima.
Durante a conversa, os criminosos tentam convencer o funcionário a ignorar os alertas exibidos pelo aplicativo. O Teams pode sinalizar que o contato externo é potencialmente suspeito ou malicioso, mas os atacantes alegam que o aviso é um erro, uma limitação temporária ou consequência de uma atualização do sistema.
Quando a vítima aceita prosseguir, os fraudadores podem solicitar uma sessão de assistência remota, o download de um arquivo ou a execução de comandos. Com o acesso obtido, instalam malware, roubam dados e procuram avançar para outros computadores e servidores conectados à rede corporativa.
Esse movimento lateral aumenta o impacto do incidente. Uma invasão inicialmente limitada a uma estação de trabalho pode evoluir para o comprometimento de contas privilegiadas, sistemas internos, arquivos compartilhados e aplicações críticas.
Como reduzir os riscos no Microsoft Teams
Uma das primeiras medidas recomendadas é revisar as configurações de comunicação externa do Teams. A empresa deve avaliar se usuários externos realmente precisam iniciar conversas com funcionários e limitar esse recurso quando não houver uma justificativa operacional.
O acesso de convidados também deve ser controlado. Contas externas precisam receber apenas as permissões indispensáveis, com revisões periódicas e remoção imediata de acessos que não sejam mais necessários. A utilização de grupos, equipes e canais deve seguir o princípio do menor privilégio.
Outra recomendação é criar um procedimento para validar solicitações sensíveis. Ordens de pagamento, mudanças em contas bancárias, envio de documentos confidenciais e pedidos de acesso remoto não devem ser aprovados apenas porque chegaram por uma conversa no Teams.
Uma confirmação por outro canal confiável pode evitar o golpe. O funcionário deve ligar para um número corporativo previamente conhecido, conversar pessoalmente com o responsável ou utilizar um sistema interno independente para verificar a solicitação. Não é recomendável usar o telefone ou o endereço fornecido pelo próprio interlocutor suspeito.
A Microsoft também sugere a adoção de frases de autenticação internas. O recurso funciona como uma palavra ou expressão previamente combinada entre equipes e gestores para confirmar a identidade de quem faz um pedido excepcional. A frase deve ser mantida em sigilo e substituída caso seja revelada.
Treinamento deve alcançar áreas mais visadas
Funcionários dos departamentos financeiro, jurídico, administrativo e de compras merecem atenção especial, pois normalmente lidam com pagamentos, contratos, dados pessoais e informações bancárias. O treinamento deve apresentar exemplos práticos de CEO-fraude e de falsos atendentes de suporte.
As equipes precisam aprender a reconhecer sinais de alerta, como urgência incomum, pedido de segredo, insistência em evitar procedimentos internos, mudança repentina de dados bancários e tentativa de transferir a conversa para um canal não autorizado.
Também é importante lembrar que empresas legítimas não solicitam senhas, códigos de autenticação ou instalação de ferramentas de acesso remoto por meio de contatos inesperados. Qualquer pedido desse tipo deve ser interrompido e comunicado ao setor responsável pela segurança.
Controles técnicos complementam a prevenção
Além da conscientização, as organizações devem manter autenticação multifator habilitada, aplicar o princípio do menor privilégio e monitorar atividades anormais nas contas. Alertas de login incomum, criação de regras suspeitas, downloads atípicos e acessos vindos de locais inesperados podem ajudar a identificar uma conta comprometida.
As soluções de segurança devem ser configuradas para detectar ferramentas de acesso remoto não autorizadas, scripts suspeitos e movimentação lateral na rede. A atualização regular de sistemas, navegadores, aplicativos do Microsoft 365 e dispositivos corporativos também reduz a exposição a vulnerabilidades conhecidas.
Se um funcionário fornecer dados, instalar um programa ou permitir acesso remoto, a empresa deve agir rapidamente. A conta pode precisar ser bloqueada, as credenciais devem ser trocadas e o dispositivo deve ser isolado para investigação. A equipe de segurança também deve verificar se houve acesso a outros sistemas.
O incidente deve ser documentado, mesmo quando não houver prejuízo financeiro imediato. O registro ajuda a identificar padrões, aperfeiçoar os controles e orientar novos treinamentos. Em casos envolvendo fraude, roubo de dados ou invasão, a organização deve avaliar as obrigações legais e regulatórias aplicáveis.
O uso do Teams por criminosos mostra que ferramentas corporativas confiáveis também podem ser exploradas por técnicas de engenharia social. A tecnologia pode reduzir riscos, mas não substitui processos de validação, treinamento contínuo e uma cultura interna na qual confirmar uma solicitação urgente seja uma prática normal, e não um obstáculo ao trabalho.