Ataques via Teams permitem acesso a redes corporativas em menos de 15 minutos

Por Estadão · Categoria: Geral · 29/10/2026

Cibercriminosos estão usando o chat externo do Microsoft Teams para invadir empresas em menos de 15 minutos. Um relatório divulgado nesta segunda-feira (26) pela empresa de cibersegurança Arctic Wolf revela que o recurso, ativado por padrão nas contas, serve como porta de entrada para ataques de engenharia social. Os invasores criam perfis falsos que simulam equipes de suporte técnico e enganam funcionários para obter acesso remoto aos computadores. A tática envolve a criação de perfis em minutos com nomes falsos como “IT Service Desk”. Para chamar a atenção e fabricar uma falsa urgência, os invasores costumam bombardear o e-mail da vítima com centenas de mensagens automáticas de inscrições e boletins. Logo depois, a mensagem no Teams chega com a oferta de ajuda para resolver o problema criado por eles mesmos. A campanha mapeou mais de 400 incidentes com o mesmo padrão de comportamento. De acordo com a pesquisa da Arctic Wolf, os golpistas combinam inundação de e-mails, falsificação de identidade corporativa e conversas rápidas para induzir o usuário a instalar ferramentas legítimas de suporte remoto, como o Quick Assist , que já vem integrado ao Windows . “Os criminosos combinam envio massivo de e-mails, personificação convincente do suporte de TI, locatários e domínios recém-criados e engenharia social rápida para mover as vítimas de um chat rotineiro para o acesso remoto”, destacam os pesquisadores, no relatório técnico. Como a invasão acontece na prática Após ganhar a confiança da vítima pelo chat, o golpista conduz a pessoa a baixar arquivos maliciosos ou executar comandos no sistema. Em alguns casos, a instrução leva o usuário a rodar linhas de código no PowerShell que baixam pacotes ocultos e permitem a execução de softwares de controle remoto comercial, como AnyDesk e ScreenConnect . Com o acesso liberado, os invasores navegam pela rede interna da organização e roubam dados ou preparam o terreno para ataques de ransomware, quando os sistemas são bloqueados e cobram resgate. O processo inteiro acontece em questão de minutos, muitas vezes antes que a equipe interna de segurança perceba a movimentação atípica. Como a Microsoft respondeu à onda de ataques A Microsoft divulgou comunicados e atualizou os guias oficiais de suporte técnico para alertar empresas sobre as campanhas de engenharia social que exploram a federação e o chat externo do Teams. A empresa destacou os riscos do acesso externo habilitado por padrão e orientou administradores a reforçarem as barreiras de segurança. “Recomendamos que as organizações movam suas configurações de ‘permitir tudo’ para uma lista de permissões de organizações confiáveis, restrinjam o uso de ferramentas de suporte remoto não autorizadas e utilizem as barreiras nativas de denúncia para combater tentativas de personificação e phishing em chats externos”, destaca o guia de gerenciamento de acesso externo no Teams , feito pela Microsoft. Para conter o avanço das invasões, a companhia disponibilizou recursos específicos para equipes de tecnologia: Controle restrito de federação: permite bloquear comunicações abertas com locatários externos, configurando a regra para aceitar apenas domínios parceiros homologados; Bloqueio de contas de teste: comandos direcionados impedem que contas gratuitas ou criadas em minutos iniciem conversas com os colaboradores; Ferramenta nativa de denúncia: o aplicativo integrou recursos para que o funcionário reporte mensagens suspeitas com poucos cliques direto na interface do artigo oficial de segurança . Como as empresas podem se defender Os especialistas em segurança digital da Arctic Wolf identificam que o problema principal se dá pela exploração da confiança do usuário em canais corporativos. Como o recurso de chat externo vem ligado por fábrica, qualquer conta externa consegue iniciar conversas com colaboradores. Para bloquear essa brecha, a orientação técnica indica alterar a configuração no painel administrativo do Teams para aceitar apenas domínios específicos de parceiros. Além desse movimento, as equipes de tecnologia devem desativar o acesso de contas não gerenciadas e restringir o uso do Quick Assist apenas para colaboradores autorizados da empresa. A recomendação prática inclui treinar os funcionários para desconfiar de abordagens espontâneas de suporte técnico, verificar sempre a tag externa exibida na interface e confirmar qualquer solicitação de acesso remoto por meio de canais oficiais e internos da organização. Siga o TecMundo no X , Instagram , Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.