Cibercriminosos usam chat externo do Teams para invadir empresas em 15 minutos
Destaques
- •Ataques exploram o chat externo do Microsoft Teams, ativado por padrão, para obter acesso remoto a empresas.
- •Golpistas criam perfis falsos e usam engenharia social para induzir funcionários a instalar ferramentas de acesso remoto.
- •Microsoft recomenda restrições de federação e bloqueio de contas não gerenciadas para mitigar os riscos.
Cibercriminosos estão utilizando o chat externo do Microsoft Teams como porta de entrada para invadir empresas em menos de 15 minutos. Um relatório da empresa de cibersegurança Arctic Wolf revelou que o recurso, ativado por padrão, permite que invasores criem perfis falsos que simulam equipes de suporte técnico. Esses perfis enganam funcionários, levando-os a conceder acesso remoto aos seus computadores.
A tática mapeada envolve a criação rápida de perfis com nomes como “IT Service Desk”. Para gerar um senso de urgência, os criminosos bombardeiam o e-mail da vítima com centenas de mensagens automáticas, seguidas por uma mensagem no Teams oferecendo ajuda para resolver o problema que eles mesmos criaram. A campanha já identificou mais de 400 incidentes com esse padrão de ataque.
Como funciona a invasão
Os golpistas combinam o envio massivo de e-mails com a personificação de suporte de TI e engenharia social rápida. Eles induzem o usuário a instalar ferramentas legítimas de suporte remoto, como o Quick Assist, integrado ao Windows, ou a executar comandos no PowerShell. Esses comandos podem baixar pacotes ocultos que permitem a instalação de softwares de controle remoto comercial, como AnyDesk e ScreenConnect.
Uma vez com o acesso liberado, os invasores navegam pela rede interna da organização, roubam dados ou preparam o terreno para ataques de ransomware. Todo o processo pode ocorrer em minutos, muitas vezes antes que as equipes de segurança interna percebam a atividade.
Resposta da Microsoft e defesas
A Microsoft divulgou comunicados e atualizou guias de suporte para alertar empresas sobre essas campanhas de engenharia social que exploram o chat externo do Teams. A empresa recomenda que as organizações restrinjam o acesso externo a uma lista de permissões de organizações confiáveis, limitem o uso de ferramentas de suporte remoto não autorizadas e utilizem as barreiras nativas de denúncia.
Para conter os ataques, a Microsoft disponibilizou recursos como o controle restrito de federação, que bloqueia comunicações com domínios externos não homologados, o bloqueio de contas de teste criadas rapidamente e uma ferramenta nativa de denúncia de mensagens suspeitas.
Recomendações para empresas
Especialistas da Arctic Wolf apontam que o problema reside na exploração da confiança do usuário em canais corporativos. Como o chat externo vem ativado por padrão, qualquer conta externa pode iniciar conversas. A orientação técnica sugere alterar a configuração no painel administrativo do Teams para aceitar apenas domínios de parceiros específicos.
Além disso, equipes de tecnologia devem desativar o acesso de contas não gerenciadas e restringir o uso do Quick Assist. É fundamental treinar funcionários para desconfiar de abordagens espontâneas de suporte técnico, verificar a tag externa na interface e confirmar solicitações de acesso remoto por canais oficiais internos da organização.
