Microsoft Teams vira isca em golpes que começam com uma enxurrada de spam

Pesquisadores da Arctic Wolf identificaram mais de 400 incidentes em que falsos técnicos exploraram chats externos para tentar entrar em redes de empresas.

Uma caixa de entrada tomada por mensagens indesejadas pode ser o começo de um golpe que chega pelo chat corporativo. Em uma campanha analisada pela Arctic Wolf Labs e divulgada nesta semana, criminosos usam conversas externas do Microsoft Teams para se passar pelo suporte de TI e convencer funcionários a liberar acesso remoto a computadores de empresas.

A investigação reuniu mais de 400 incidentes de abuso desse recurso. Em alguns casos, depois que a pessoa aceita a abordagem e permite o controle do dispositivo, os invasores conseguiram executar código malicioso em menos de 15 minutos. O número descreve a velocidade observada após a interação da vítima — não quer dizer que qualquer mensagem recebida no Teams resulte automaticamente em invasão.

O golpe começa fora do Teams

A sequência costuma começar com um volume anormal de e-mails, muitas vezes newsletters ou mensagens de cadastro, enviado à caixa de entrada de um funcionário. Essa inundação, conhecida como email bombing, cria confusão e pode fazer a pessoa acreditar que precisa de ajuda urgente para resolver um problema técnico.

É aí que aparece o falso atendente. Pelo chat externo do Teams, ele se apresenta como alguém da equipe interna de tecnologia e oferece suporte. A conversa pode migrar para uma chamada de voz, em que o criminoso tenta orientar a vítima a usar um programa legítimo de assistência remota.

Ferramentas legítimas, intenção criminosa

Entre os recursos citados na análise está o Microsoft Quick Assist, ferramenta de suporte remoto que permite a uma pessoa ajudar outra a distância. Também foram mencionados programas de terceiros, como AnyDesk, ScreenConnect, Atera, Zoho Assist, NetSupport e LogMeIn. O problema não está necessariamente no aplicativo em si, mas em quem obtém permissão para controlá-lo.

Com acesso ao computador, os invasores podem tentar instalar malware, capturar credenciais e mapear os sistemas conectados. Essas ações podem servir de preparação para avançar pela rede ou, em determinados casos, implantar ransomware. Por isso, uma autorização concedida durante uma chamada aparentemente rotineira pode abrir caminho para danos que vão além da máquina de uma única pessoa.

O que as empresas podem fazer

O episódio se encaixa em uma estratégia de engenharia social: em vez de depender de uma falha técnica inédita no Teams, o criminoso explora confiança, urgência e ferramentas que já fazem parte da rotina. A Microsoft também documentou campanhas em que grupos abusaram do Teams para abordar usuários e tentar obter credenciais, o que reforça que plataformas de colaboração podem ser usadas como canal de contato por atacantes.

Para reduzir o risco, empresas podem limitar chats externos a contatos aprovados, verificar pedidos de suporte por um canal conhecido e controlar quem pode iniciar sessões de assistência remota. Treinamentos também precisam cobrir situações em que uma enxurrada de spam é seguida por uma ligação ou mensagem oferecendo ajuda.

Para quem recebe esse tipo de contato, a regra prática é simples: não compartilhar códigos nem liberar o controle do computador só porque alguém se apresentou como suporte. Procure a equipe de TI por um canal interno já conhecido. A rapidez observada pelos pesquisadores dependeu justamente de a vítima aceitar a ajuda e conceder acesso.

Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: