Ataques via Teams podem invadir empresas em menos de 15 minutos

Você já sentiu aquele frio na barriga quando recebe uma mensagem de suporte técnico dizendo que há algo errado com seu computador? Pois é, esse susto está sendo usado como arma por criminosos para invadir redes de empresas de forma extremamente rápida. Trago essa notícia porque ela mexe com a rotina de quase todo mundo que usa ferramentas de trabalho hoje em dia.

O que parece um problema de TI comum pode, na verdade, ser o início de um ataque que leva menos de 15 minutos para comprometer toda uma organização. Estou falando de uma tática que usa o chat do Microsoft Teams para enganar funcionários e ganhar acesso total aos sistemas internos. Vamos entender como isso funciona e o que a Microsoft está fazendo para ajudar.

O que aconteceu

Um novo relatório da empresa de cibersegurança Arctic Wolf revelou que criminosos estão usando o chat externo do Microsoft Teams para invadir redes corporativas. O ataque é muito rápido, ocorrendo muitas vezes em menos de 15 minutos após o início do contato. Segundo a pesquisa, o recurso de chat externo, que vem ativado por padrão, é a principal porta de entrada.

A tática envolve a criação de perfis falsos que fingem ser equipes de suporte técnico, usando nomes como 'IT Service Desk'. Para criar um senso de urgência, os golpistas costumam bombardear o e-mail da vítima com centenas de mensagens automáticas de spam. Logo em seguida, eles aparecem no Teams oferecendo ajuda para resolver o problema que eles mesmos causaram.

De acordo com a Arctic Wolf, a campanha já mapeou mais de 400 incidentes com esse mesmo padrão de comportamento. Os invasores induzem os usuários a instalar ferramentas de suporte remoto, como o Quick Assist, ou a executar comandos perigosos no sistema. Em alguns casos, eles usam o PowerShell para baixar pacotes ocultos e softwares de controle remoto como AnyDesk.

Uma vez dentro do computador, os criminosos podem navegar pela rede interna da organização para roubar dados ou preparar ataques de ransomware. A Microsoft respondeu ao problema atualizando seus guias de suporte e recomendando que as empresas restrinjam o uso de comunicações com domínios não homologados. A companhia também disponibilizou recursos para bloquear contas de teste e facilitar denúncias.

Para conter o avanço, a Microsoft sugere que as organizações utilizem o controle de federação para aceitar apenas domínios de parceiros confiáveis. Além disso, a empresa recomenda o uso de ferramentas nativas de denúncia para que os funcionários possam reportar mensagens suspeitas rapidamente. O objetivo é impedir que contas criadas em poucos minutos consigam iniciar conversas com os colaboradores.

Entendendo

Para entender esse golpe, precisamos falar sobre engenharia social, que é basicamente o uso de manipulação psicológica para enganar pessoas. Em vez de tentar quebrar uma senha complexa através de força bruta, o criminoso tenta convencer o usuário a entregar a chave voluntariamente. Eles exploram o medo ou a pressa, fazendo a vítima acreditar que está resolvendo um problema urgente de TI.

Outro ponto importante aqui é o conceito de federação no Microsoft Teams, que permite que usuários de diferentes organizações conversem entre si. Quando essa função está configurada para permitir qualquer contato externo, ela abre uma porta para que perfis desconhecidos enviem mensagens diretamente para os colaboradores. É como se a porta da sua empresa estivesse aberta para qualquer pessoa que chegasse na recepção.

Os criminosos também utilizam ferramentas de suporte remoto, que são programas feitos para ajudar técnicos a consertar computadores à distância. O problema não é a ferramenta em si, mas o fato de que golpistas usam softwares legítimos, como o Quick Assist do Windows, para assumir o controle da máquina. Uma vez dentro, eles podem agir como se fossem o próprio dono do computador, sem levantar suspeitas imediatas.

O criminoso não está tentando invadir o sistema, ele está tentando invadir a mente do funcionário.

O que muda para você

Para quem usa o Teams no dia a dia, a principal mudança é a necessidade de um olhar muito mais atento às mensagens recebidas. É fundamental observar se existe uma etiqueta indicando que o contato é externo, o que serve como um alerta visual importante. Se alguém que você não conhece surgir oferecendo ajuda técnica, desconfie imediatamente.

Para quem contrata ou gerencia software, o cenário exige uma revisão nas configurações de comunicação externa da empresa. A recomendação é mudar o modelo de 'permitir tudo' para uma lista de permissões, onde apenas domínios de parceiros conhecidos possam falar com os colaboradores. Isso reduz drasticamente a superfície de ataque disponível para estranhos.

As empresas também precisam monitorar e restringir o uso de ferramentas de suporte remoto que não foram autorizadas oficialmente. De acordo com as orientações da Microsoft, os administradores devem configurar o ambiente para que apenas colaboradores autorizados utilizem recursos como o Quick Assist. Isso evita que um invasor use ferramentas legítimas para se esconder na rede.

Fonte: Tecmundo