Cibercriminosos estão usando o chat externo do Microsoft Teams para invadir empresas em menos de 15 minutos. Um relatório divulgado nesta segunda-feira (26) pela empresa de cibersegurança Arctic Wolf revela que o recurso, ativado por padrão nas contas, serve como porta de entrada para ataques de engenharia social. Os invasores criam perfis falsos que simulam equipes de suporte técnico e enganam funcionários para obter acesso remoto aos computadores.A tática envolve a criação de perfis em minutos com nomes falsos como “IT Service Desk”. Para chamar a atenção e fabricar uma falsa urgência, os invasores costumam bombardear o e-mail da vítima com centenas de mensagens automáticas de inscrições e boletins. Logo depois, a mensagem no Teams chega com a oferta de ajuda para resolver o problema criado por eles mesmos. A campanha mapeou mais de 400 incidentes com o mesmo padrão de comportamento. De acordo com a pesquisa da Arctic Wolf, os golpistas combinam inundação de e-mails, falsificação de identidade corporativa e conversas rápidas para induzir o usuário a instalar ferramentas legítimas de suporte remoto, como o Quick Assist, que já vem integrado ao Windows.“Os criminosos combinam envio massivo de e-mails, personificação convincente do suporte de TI, locatários e domínios recém-criados e engenharia social rápida para mover as vítimas de um chat rotineiro para o acesso remoto”, destacam os pesquisadores, no relatório técnico.Como a invasão acontece na práticaApós ganhar a confiança da vítima pelo chat, o golpista conduz a pessoa a baixar arquivos maliciosos ou executar comandos no sistema. Em alguns casos, a instrução leva o usuário a rodar linhas de código no PowerShell que baixam pacotes ocultos e permitem a execução de softwares de controle remoto comercial, como AnyDesk e ScreenConnect. Como desativar a configuração “Acesso Externo” no Microsoft Teams que permite que usuários da sua organização se comuniquem com contas do Teams não gerenciadas. Foto: Reprodução/Artic Wolf Com o acesso liberado, os invasores navegam pela rede interna da organização e roubam dados ou preparam o terreno para ataques de ransomware, quando os sistemas são bloqueados e cobram resgate. O processo inteiro acontece em questão de minutos, muitas vezes antes que a equipe interna de segurança perceba a movimentação atípica.Como a Microsoft respondeu à onda de ataquesA Microsoft divulgou comunicados e atualizou os guias oficiais de suporte técnico para alertar empresas sobre as campanhas de engenharia social que exploram a federação e o chat externo do Teams. A empresa destacou os riscos do acesso externo habilitado por padrão e orientou administradores a reforçarem as barreiras de segurança.“Recomendamos que as organizações movam suas configurações de ‘permitir tudo’ para uma lista de permissões de organizações confiáveis, restrinjam o uso de ferramentas de suporte remoto não autorizadas e utilizem as barreiras nativas de denúncia para combater tentativas de personificação e phishing em chats externos”, destaca o guia de gerenciamento de acesso externo no Teams, feito pela Microsoft.Para conter o avanço das invasões, a companhia disponibilizou recursos específicos para equipes de tecnologia: A cadeia de ataque baseada em equipes observada começa com o contato externo inicial “ChatCreated”, com a visão como o próximo passo e a instalação do Quick Assist/RMM para a execução da carga útil. Foto: Reprodução/Artic Wolf Controle restrito de federação: permite bloquear comunicações abertas com locatários externos, configurando a regra para aceitar apenas domínios parceiros homologados;Bloqueio de contas de teste: comandos direcionados impedem que contas gratuitas ou criadas em minutos iniciem conversas com os colaboradores;Ferramenta nativa de denúncia: o aplicativo integrou recursos para que o funcionário reporte mensagens suspeitas com poucos cliques direto na interface do artigo oficial de segurança.Como as empresas podem se defenderOs especialistas em segurança digital da Arctic Wolf identificam que o problema principal se dá pela exploração da confiança do usuário em canais corporativos. Como o recurso de chat externo vem ligado por fábrica, qualquer conta externa consegue iniciar conversas com colaboradores.Para bloquear essa brecha, a orientação técnica indica alterar a configuração no painel administrativo do Teams para aceitar apenas domínios específicos de parceiros. Além desse movimento, as equipes de tecnologia devem desativar o acesso de contas não gerenciadas e restringir o uso do Quick Assist apenas para colaboradores autorizados da empresa.A recomendação prática inclui treinar os funcionários para desconfiar de abordagens espontâneas de suporte técnico, verificar sempre a tag externa exibida na interface e confirmar qualquer solicitação de acesso remoto por meio de canais oficiais e internos da organização.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.