Golpistas estão utilizando o chat externo do Microsoft Teams para invadir empresas em menos de 15 minutos, segundo um relatório divulgado nesta segunda-feira (26) pela empresa de cibersegurança Artic Wolf. O documento revela que o recurso é ativado por padrão nas contas corporativas e serve como porta de entrada para ataques de engenharia social, nos quais os invasores criam perfis falsos simulando equipes de suporte técnico para obter acesso remoto aos computadores dos funcionários.

Mecânica do ataque

A tática envolve a criação de contas em minutos com nomes falsos, como “IT Service Desk”. Para fabricar uma falsa urgência, os invasores bombardeiam o e-mail da vítima com centenas de mensagens automáticas de inscrições e boletins. Logo em seguida, uma mensagem no Teams chega oferecendo ajuda para resolver o problema criado pelos próprios criminosos. A campanha mapeou mais de 400 incidentes com esse padrão de comportamento, combinando inundações de e-mails, falsificação de identidade corporativa e conversas rápidas para induzir o usuário a instalar ferramentas legítimas de suporte remoto, como o Quick Assist, integrado ao Windows.

Riscos e consequências

Após ganhar a confiança da vítima por chat, o golpista conduz a pessoa a baixar arquivos maliciosos ou a executar comandos no sistema. Em alguns casos, a instrução leva o usuário a rodar linhas de código no PowerShell que baixam pacotes ocultos e permitem a execução de softwares de controle remoto comercial, como AnyDesk e ScreenConnect. Com o acesso liberado, os invasores navegam pela rede interna da organização para roubar dados ou preparar o terreno para ataques de ransomware, bloqueando sistemas e cobrando resgate. O processo ocorre em minutos, muitas vezes antes que a equipe interna de segurança perceba a movimentação atípica.

Orientações da Microsoft

A Microsoft divulgou comunicados e atualizou guias oficiais de suporte técnico para alertar empresas sobre as campanhas que exploram a federação e o chat externo do Teams. A empresa destacou os riscos do acesso externo habilitado por padrão e orientou administradores a reforçarem as barreiras de segurança. “Recomendamos que as organizações movam suas configurações de ‘permitir tudo’ para uma lista de permissões de organizações confiáveis, restrinjam o uso de ferramentas de suporte remoto não autorizada e utilizem as barreiras nativas de denúncia para combater tentativas de personificação e phishing em chats externos”, destaca o guia de gerenciamento.