Nas últimas semanas, observamos um aumento expressivo de tentativas de phishing direcionadas utilizando o Microsoft Teams como canal de entrada. O ataque é simples na execução, mas perigoso pela engenharia social envolvida.

Quem nunca recebeu aquela mensagem?

Quem nunca recebeu no WhatsApp uma mensagem de um número desconhecido se passando por um parente, um chefe ou um amigo, pedindo dinheiro ou um favor urgente? O golpe é velho conhecido de todo mundo. A diferença agora é o palco: mudou a aplicação.

Os criminosos perceberam que o ambiente corporativo é um alvo muito mais valioso e levaram exatamente a mesma tática para dentro das ferramentas de trabalho. O WhatsApp deu lugar ao Microsoft Teams.

 O “tio pedindo um Pix” virou o “CEO pedindo a instalação de um arquivo”. A roupagem é mais sofisticada e o cenário é profissional, mas a engenharia social por trás é a mesma de sempre: explorar a confiança e a urgência.

E é justamente por parecer familiar e legítimo que esse novo formato funciona tão bem.

 

Como funciona o golpe?

O atacante cria uma conta externa usando o nome de um executivo da empresa (geralmente o CEO ou um membro da diretoria) e inicia uma conversa no Teams com os colaboradores. Aproveitando a autoridade implícita do nome, solicita ações urgentes, sendo as mais comuns o download e a instalação de arquivos. 

Esses arquivos costumam ser malware disfarçado, ferramentas de acesso remoto ou droppers que abrem caminho para movimentação lateral e roubo de credenciais.

A eficácia do ataque não está na sofisticação técnica, mas na pressa, no medo de contrariar uma figura de autoridade e na confiança depositada em uma plataforma corporativa legítima.

Sinais de alerta

  • Fique atento quando a mensagem apresentar:
  • Remetente externo (o Teams exibe a tag “Externo” ou domínio desconhecido).
  • Senso de urgência ou sigilo (“preciso disso agora”, “não comente com ninguém”).
  • Solicitação para instalar programas, baixar anexos ou clicar em links.
  • Pedidos fora do fluxo normal de trabalho, mesmo vindos de “executivos”.
  • Pequenas diferenças no nome de exibição ou no endereço de e-mail.

Como se proteger

Desconfie de qualquer solicitação de instalação de software recebida por chat, independentemente de quem a aparenta enviar.

Verifique o remetente: confira se há a marcação de usuário externo e valide o domínio.

Confirme por outro canal: se a mensagem parece vir de um executivo, ligue ou use um canal oficial antes de agir.

Nunca instale arquivos sem validação da equipe de TI/Segurança.

Reporte imediatamente ao SOC qualquer abordagem suspeita.

 

O que pode ser feito (controles recomendados)

Esse vetor de ataque explora justamente a permissividade padrão do acesso externo no Microsoft Teams. 

Do ponto de vista de segurança, a superfície de ataque precisa ser reduzida na origem, não apenas mitigada na ponta. Recomendamos endurecer as seguintes configurações:

Restringir o acesso externo (External Access): por padrão, o Teams permite que qualquer domínio externo inicie conversas com seus colaboradores. Migre de uma política de “permitir todos” para uma allowlist, permitindo comunicação apenas com domínios de parceiros e clientes previamente validados. Tudo o que não for explicitamente confiável deve ser bloqueado.

Bloquear contatos originados de tenants trial: contas de tenants de avaliação (trial) são gratuitas, descartáveis e o playground preferido de atacantes, justamente por não exigirem custo nem verificação robusta. Não há razão legítima de negócio para receber abordagens a partir delas. Bloqueie por completo.

Bloquear contatos de contas pessoais da Microsoft (MSA): o Teams permite interação com contas pessoais (@outlook, @hotmail, @live e similares). Nenhuma comunicação corporativa legítima deveria nascer de uma conta pessoal não gerenciada. Desabilitar esse canal elimina de uma vez um dos disfarces mais usados nesse golpe.

Reforçar políticas de execução e instalação no endpoint: mesmo que a mensagem chegue, o impacto só se concretiza quando o arquivo é executado. Controles de application allowlisting, restrição de privilégios administrativos e bloqueio de execução de binários em diretórios de usuário fecham o último elo da cadeia de ataque.

Manter as soluções de proteção de endpoint atualizadas: antivírus, EDR e demais agentes de segurança só protegem contra aquilo que conseguem reconhecer. Assinaturas desatualizadas, agentes desabilitados ou versões legadas deixam brechas exploráveis mesmo contra ameaças já conhecidas. Garanta que as ferramentas de proteção estejam ativas, atualizadas e reportando ao console de gerenciamento em todas as estações, sem exceções.

Monitoramento e detecção contínua: configurações são a primeira camada, não a única. Telemetria de identidade, alertas sobre novos contatos externos e correlação de eventos no SOC garantem visibilidade sobre tentativas que contornem os bloqueios. Defesa em profundidade pressupõe que algum controle pode falhar e que a detecção precisa estar pronta para isso.

A lógica é a mesma de qualquer estratégia de redução de superfície: cada permissão aberta é uma porta. Se ela não serve a um propósito de negócio claro, ela serve a um atacante.

Na dúvida, não clique, não instale e reporte.

Segurança é responsabilidade de todos.

 

Conte com a Ayko para fortalecer a segurança do seu ambiente Microsoft 

Os ataques de impersonation estão cada vez mais sofisticados e exploram a confiança dos usuários para comprometer dados, acessos e operações críticas. Por isso, proteger o Microsoft exige uma estratégia que combine monitoramento, segurança de identidade, proteção de endpoints, backup e recuperação de dados.

Com 22 anos de experiência em segurança da informação, infraestrutura e continuidade de negócios, a Ayko ajuda empresas a reduzir riscos, aumentar a resiliência digital e garantir a proteção de seus ambientes corporativos.

Fale com um especialista da Ayko e descubra como fortalecer a segurança do seu Microsoft contra as ameaças mais recentes.