Constatou-se que o Microsoft Teams passou a ser explorado por criminosos no intuito de invadir redes empresariais. Por meio de conversas externas e técnicas de engenharia social, os invasores enganam funcionários, assumem o controle de computadores e acessam informações internas. Em alguns casos, conseguem avançar em menos de 15 minutos, utilizando perfis falsos e ferramentas legítimas de acesso remoto.
Os ataques pelo Microsoft Teams que têm empresas como alvo
Um relatório divulgado na última segunda-feira (26) pela empresa de cibersegurança Arctic Wolf revelou como criminosos estão explorando o chat externo do Microsoft Teams para obter acesso inicial a organizações. Habilitada por padrão, a funcionalidade permite que pessoas de fora da empresa iniciem conversas com funcionários, facilitando contatos legítimos, mas também possibilitando abordagens fraudulentas.
A investigação identificou mais de 400 incidentes com características semelhantes. Os pesquisadores encontraram uma campanha organizada na qual invasores simulam profissionais de tecnologia e utilizam nomes como “IT Service Desk” para se passar por integrantes do suporte técnico.
Criminosos criam situações de falsa emergência
Vale ressaltar que a estratégia procura aproveitar a familiaridade dos funcionários com as equipes de TI. Antes de iniciar o contato pelo Teams, os invasores podem enviar centenas de mensagens automáticas ao e-mail da vítima, incluindo inscrições em serviços, boletins informativos e outras notificações.
O grande volume de mensagens dificulta a identificação de comunicações importantes e cria a impressão de que existe algum problema na conta. Na sequência, um suposto profissional de suporte entra em contato pelo chat externo e oferece ajuda para solucionar a situação. Porém, na realidade, os próprios criminosos provocaram a inundação da caixa de entrada para justificar a abordagem.
Identidades falsas aceleram a invasão
Segundo a Arctic Wolf, a combinação de urgência, falsa identidade corporativa e oferta de assistência pode levar funcionários a confiar nos invasores em poucos minutos. A campanha também utiliza domínios e ambientes corporativos recém-configurados para sustentar a aparência de legitimidade.
Isso ocorre sem necessariamente comprometer contas verdadeiras. O objetivo é transformar uma conversa aparentemente rotineira em uma oportunidade para obter autorização de acesso remoto ao computador da vítima.
Como funcionam esses ataques pelo Microsoft Teams que têm empresas como alvo?
Depois de iniciar a conversa e conquistar a confiança do funcionário, o criminoso procura convencê-lo a baixar arquivos, instalar programas ou até mesmo executar comandos no computador. Essas ações são apresentadas como procedimentos necessários para solucionar um suposto problema técnico.
Uma das ferramentas utilizadas é o Quick Assist, aplicativo legítimo de assistência remota integrado ao Windows. Embora permita receber suporte de outra pessoa, o recurso pode ser explorado quando a vítima acredita estar interagindo com um profissional autorizado.
Ao convencer o funcionário a iniciar uma sessão, os invasores podem visualizar e controlar o computador, conforme as permissões concedidas. Dessa forma, conseguem realizar ações no equipamento sem explorar diretamente uma vulnerabilidade do aplicativo.
PowerShell e programas de controle remoto
Paralelamente, outra abordagem envolve o PowerShell, ferramenta de automação e administração do Windows. Os criminosos orientam a vítima a executar comandos que podem baixar arquivos ocultos e preparar a instalação de programas de controle remoto.
Entre as ferramentas que podem aparecer nesse processo estão AnyDesk e ScreenConnect. Mesmo que tenham aplicações legítimas, esses programas também podem ser utilizados indevidamente para manter o acesso a computadores comprometidos.
Avanço pela rede corporativa
Com a conexão estabelecida, os invasores podem procurar documentos, credenciais e informações comerciais. Dependendo dos privilégios obtidos, também podem tentar alcançar outros dispositivos e sistemas da organização.
Roubo de dados e ataques de ransomware
Entre as consequências estão o roubo de informações confidenciais e a preparação de ataques de ransomware, modalidade que bloqueia ou criptografa arquivos para exigir resgate. Os dados também podem ser utilizados como instrumento de pressão.
A velocidade da operação dificulta a identificação pelos responsáveis de segurança, pois a abordagem pode evoluir de uma mensagem externa para uma conexão remota antes que atividades suspeitas sejam detectadas.
A resposta do Microsoft Teams sobre o uso da plataforma para ataques que têm empresas como alvo
Diante da exploração do recurso de comunicação externa, a Microsoft divulgou orientações e atualizou materiais de suporte para alertar organizações sobre campanhas de engenharia social. É importante destacar que as recomendações ressaltam os riscos de contatos entre diferentes ambientes corporativos e da possibilidade de usuários externos iniciarem conversas com funcionários.
A companhia orienta administradores a revisar as configurações do Teams e substituir permissões amplas por critérios mais restritivos. Em seu guia de gerenciamento de acesso externo, recomenda abandonar configurações que permitem todas as comunicações e adotar listas de permissões com empresas e domínios confiáveis.
Recursos para restringir contatos suspeitos
Paralelamente, a Microsoft também recomenda limitar o uso de programas de suporte remoto não autorizados, evitando que funcionários instalem ferramentas de controle externo sem conhecimento da equipe de tecnologia. Sendo assim, entre os recursos administrativos que ajudam a reduzir os riscos, destacam-se:
- Controle restrito de federação: limita a comunicação entre ambientes corporativos, permitindo contatos apenas com organizações autorizadas.
- Bloqueio de contas de teste: impede que contas gratuitas ou recém-criadas iniciem conversas com colaboradores.
- Ferramenta nativa de denúncia: permite sinalizar mensagens suspeitas diretamente no aplicativo, facilitando a identificação de personificação e phishing.
Proteção além das configurações técnicas
Essas medidas não eliminam todos os riscos, mas reduzem a exposição a contatos externos não autorizados e ampliam o controle administrativo sobre as comunicações. A Microsoft também destaca a importância de combinar os recursos técnicos com procedimentos internos de segurança.
Desse modo, as empresas precisam estabelecer regras para atendimentos remotos, orientar funcionários e criar mecanismos para verificar a identidade de pessoas que solicitam acesso aos equipamentos.
Como as empresas podem se defender dos ataques pelo Microsoft Teams?
A principal vulnerabilidade explorada pelos criminosos envolve a confiança dos funcionários em canais utilizados diariamente. Isso se deve ao fato de que o chat externo do Microsoft Teams facilita o contato com fornecedores e parceiros, mas também pode permitir que desconhecidos se apresentem como integrantes de departamentos internos.
Sendo assim, administradores devem revisar as permissões de comunicação externa e avaliar a possibilidade de restringir conversas a domínios autorizados. Listas de permissões reduzem a quantidade de contatos capazes de alcançar diretamente os colaboradores. Da mesma forma, também é importante controlar o acesso de contas externas não gerenciadas, especialmente perfis gratuitos ou recém-criados.
Controle de ferramentas de acesso remoto
Mais uma medida preventiva envolve estabelecer regras para ferramentas de suporte remoto. O Quick Assist, o AnyDesk e o ScreenConnect devem ser utilizados somente em situações autorizadas, por profissionais reconhecidos pela empresa. A organização precisa definir quais programas podem ser executados, quem está autorizado a operá-los e quando o acesso remoto pode ser concedido.
Orientação e conscientização dos funcionários
Os colaboradores precisam reconhecer sinais de abordagens suspeitas, como mensagens inesperadas de supostos técnicos, pedidos urgentes de ajuda e solicitações para instalar programas. Embora o Teams apresente identificações de contatos externos, esse aviso não garante a identificação de todas as tentativas de fraude.
Antes de conceder acesso ao computador, o funcionário deve confirmar a solicitação por canais oficiais, como uma ligação para o departamento de tecnologia ou uma comunicação pelo sistema interno.
Resposta rápida e treinamentos periódicos
Por fim, as equipes de segurança devem estabelecer procedimentos para comunicar incidentes e interromper acessos indevidos. Além disso, simulações de phishing e treinamentos sobre engenharia social ajudam a preparar os funcionários para identificar tentativas de manipulação.
Lições a aprender com essa situação do Microsoft Teams
Os ataques identificados pela Arctic Wolf mostram que ferramentas legítimas de comunicação também podem ser utilizadas em campanhas criminosas. Em outras palavras, o uso de uma plataforma amplamente adotada por empresas e que oferece recursos de segurança não significa que todas as interações realizadas nela sejam confiáveis.
O comportamento dos usuários influencia a segurança
Dessa maneira, o caso reforça a importância de considerar o comportamento dos funcionários como parte da estratégia de proteção digital. Em vez de depender apenas da identificação de arquivos maliciosos ou falhas nos sistemas, os criminosos exploram situações cotidianas para convencer colaboradores a executar ações que facilitam invasões.
Revisão de permissões e configurações
Outra lição envolve a necessidade de revisar recursos habilitados por padrão. Isso se deve ao fato de que funcionalidades criadas para facilitar a comunicação podem ampliar a superfície de exposição quando não possuem controles adequados. Logo, administradores devem avaliar periodicamente as permissões concedidas e adotar políticas compatíveis com as necessidades da organização.
Colaboração na proteção corporativa
Paralelamente, a segurança também depende da colaboração entre equipes técnicas e funcionários. Enquanto administradores precisam restringir acessos e monitorar atividades, colaboradores devem desconfiar de solicitações inesperadas e confirmar a identidade de supostos profissionais de suporte por meio de canais oficiais.
Resumindo, o Microsoft Teams continua sendo uma ferramenta importante para a rotina de trabalho, mas seu uso exige atenção às configurações de comunicação e aos contatos recebidos.
No intuito de evitar que conversas aparentemente comuns se transformem em portas de entrada para invasões, as empresas precisam combinar controles técnicos, treinamento e procedimentos de verificação. Então, acompanhe outras notícias sobre o Microsoft Teams e descubra como proteger sua empresa diante das novas ameaças digitais.
*com uso de inteligência artificial
