Cibercriminosos estão usando o chat externo do Microsoft Teams para invadir empresas em menos de 15 minutos. Um relatório divulgado nesta segunda-feira (26) pela empresa de cibersegurança Arctic Wolf revela que o recurso, ativado por padrão nas contas, serve como porta de entrada para ataques de engenharia social. Os invasores criam perfis falsos que simulam equipes de suporte técnico e enganam funcionários para obter acesso remoto aos computadores.
A tática envolve a criação de perfis em minutos com nomes falsos como “IT Service Desk”. Para chamar a atenção e fabricar uma falsa urgência, os invasores costumam bombardear o e-mail da vítima com centenas de mensagens automáticas de inscrições e boletins. Logo depois, a mensagem no Teams chega com a oferta de ajuda para resolver o problema criado por eles mesmos.
A campanha mapeou mais de 400 incidentes com o mesmo padrão de comportamento. De acordo com a pesquisa da Arctic Wolf, os golpistas combinam inundação de e-mails, falsificação de identidade corporativa e conversas rápidas para induzir o usuário a instalar ferramentas legítimas de suporte remoto, como o Quick Assist, que já vem integrado ao Windows.
“Os criminosos combinam envio massivo de e-mails, personificação convincente do suporte de TI, locatários e domínios recém-criados e engenharia social rápida para mover as vítimas de um chat rotineiro para o acesso remoto”, destacam os pesquisadores, no relatório técnico.
Como a invasão acontece na prática
Após ganhar a confiança da vítima pelo chat, o golpista conduz a pessoa a baixar arquivos maliciosos ou executar comandos no sistema. Em alguns casos, a instrução leva o usuário a rodar linhas de código no PowerShell que baixam pacotes ocultos e permitem a execução de softwares de controle remoto comercial, como AnyDesk e ScreenConnect.
Como desativar a configuração “Acesso Externo” no Microsoft Teams que permite que usuários da sua organização se comuniquem com contas do Teams não gerenciadas. Foto: Reprodução/Artic Wolf
Com o acesso liberado, os invasores navegam pela rede interna da organização e roubam dados ou preparam o terreno para ataques de ransomware, quando os sistemas são bloqueados e cobram resgate. O processo inteiro acontece em questão de minutos, muitas vezes antes que a equipe interna de segurança perceba a movimentação atípica.
Como a Microsoft respondeu à onda de ataques
A Microsoft divulgou comunicados e atualizou os guias oficiais de suporte técnico para alertar empresas sobre as campanhas de engenharia social que exploram a federação e o chat externo do Teams. A empresa destacou os riscos do acesso externo habilitado por padrão e orientou administradores a reforçarem as barreiras de segurança.
“Recomendamos que as organizações movam suas configurações de ‘permitir tudo’ para uma lista de permissões de organizações confiáveis, restrinjam o uso de ferramentas de suporte remoto não autorizadas e utilizem as barreiras nativas de denúncia para combater tentativas de personificação e phishing em chats externos”, destaca o guia de gerenciamento de acesso externo no Teams, feito pela Microsoft.
Para conter o avanço das invasões, a companhia disponibilizou recursos específicos para equipes de tecnologia:
A cadeia de ataque baseada em equipes observada começa com o contato externo inicial “ChatCreated”, com a visão como o próximo passo e a instalação do Quick Assist/RMM para a execução da carga útil. Foto: Reprodução/Artic Wolf
Controle restrito de federação: permite bloquear comunicações abertas com locatários externos, configurando a regra para aceitar apenas domínios parceiros homologados;
Bloqueio de contas de teste: comandos direcionados impedem que contas gratuitas ou criadas em minutos iniciem conversas com os colaboradores;
Ferramenta nativa de denúncia: o aplicativo integrou recursos para que o funcionário reporte mensagens suspeitas com poucos cliques direto na interface do artigo oficial de segurança.
Como as empresas podem se defender
Os especialistas em segurança digital da Arctic Wolf identificam que o problema principal se dá pela exploração da confiança do usuário em canais corporativos. Como o recurso de chat externo vem ligado por fábrica, qualquer conta externa consegue iniciar conversas com colaboradores.
PUBLICIDADE
Para bloquear essa brecha, a orientação técnica indica alterar a configuração no painel administrativo do Teams para aceitar apenas domínios específicos de parceiros. Além desse movimento, as equipes de tecnologia devem desativar o acesso de contas não gerenciadas e restringir o uso do Quick Assist apenas para colaboradores autorizados da empresa.
A recomendação prática inclui treinar os funcionários para desconfiar de abordagens espontâneas de suporte técnico, verificar sempre a tag externa exibida na interface e confirmar qualquer solicitação de acesso remoto por meio de canais oficiais e internos da organização.
Fonte: Estadão / TecMundo