Golpe no Teams pode abrir acesso a redes corporativas em minutos
O golpe pelo Microsoft Teams começa com uma enxurrada de e-mails e perfis falsos de suporte; a Arctic Wolf mapeou mais de 400 incidentes.
Resumo em 30 segundos
Criminosos usam o chat externo do Microsoft Teams para se passar por equipes de suporte e convencer funcionários a liberar acesso remoto aos computadores. A técnica pode levar à invasão de redes corporativas em menos de 15 minutos. A Microsoft recomenda restringir contatos externos e ferramentas de suporte remoto não autorizadas.
Criminosos estão usando o chat externo do Microsoft Teams para enganar funcionários e obter acesso a redes corporativas. A técnica, descrita em relatório divulgado nesta segunda-feira (26) pela empresa de cibersegurança Arctic Wolf, pode levar menos de 15 minutos entre o primeiro contato e a invasão dos sistemas de uma organização.
Os golpistas criam contas com nomes que imitam equipes de suporte, como “IT Service Desk”, e chamam funcionários pelo Teams. Para fabricar uma situação urgente, antes inundam a caixa de e-mail da vítima com mensagens automáticas de inscrições e boletins. Em seguida, oferecem ajuda para resolver o excesso de mensagens que eles mesmos provocaram.
A abordagem busca convencer o funcionário a instalar ferramentas legítimas de acesso remoto, como o Quick Assist, integrado ao Windows. Em outros casos, a vítima é induzida a baixar arquivos maliciosos ou executar comandos no PowerShell, recurso do Windows usado para automatizar tarefas e administrar o sistema. Esses comandos podem instalar programas de controle remoto, como AnyDesk e ScreenConnect.
Depois de obter acesso ao computador, os invasores podem percorrer a rede interna, roubar dados ou preparar um ataque de ransomware. Nesse tipo de ataque, sistemas ou arquivos são bloqueados e os criminosos exigem pagamento para liberá-los. A movimentação pode ocorrer antes que a equipe de segurança da empresa identifique o comportamento suspeito.
A Arctic Wolf mapeou mais de 400 incidentes com esse padrão. Os pesquisadores descrevem a combinação de mensagens em massa, perfis falsos de suporte e conversas rápidas como uma forma de levar o funcionário de um chat aparentemente rotineiro à concessão de acesso remoto.
O chat externo permite que usuários conversem no Teams com pessoas de outras organizações. Segundo a empresa de cibersegurança, a configuração padrão facilita o contato de contas externas com funcionários. A Microsoft também alertou sobre campanhas que exploram a federação — mecanismo que permite a comunicação entre organizações — e publicou orientações para administradores.
A Microsoft recomenda substituir a permissão ampla de acesso externo por uma lista de organizações confiáveis, restringir ferramentas de suporte remoto não autorizadas e usar os recursos do Teams para denunciar tentativas de personificação ou phishing. A recomendação busca limitar quem pode iniciar conversas e reduzir a possibilidade de um contato externo se passar por integrante do suporte.
As orientações de segurança também incluem restringir o acesso de contas não gerenciadas e permitir o Quick Assist apenas a funcionários autorizados. Para os trabalhadores, a recomendação é desconfiar de contatos inesperados que peçam acesso ao computador, conferir a identificação de usuário externo exibida no Teams e validar solicitações pelos canais oficiais da empresa.
