Cibercriminosos encontraram uma nova forma de contornar filtros de e‑mail e bloqueadores de spam: eles estão ligando diretamente para funcionários pelo Microsoft Teams. Uma campanha recente ligada ao ransomware Chaos mostra que os atacantes usam phishing por voz, ou "vishing", dentro do Teams para enganar colaboradores e obter acesso à rede, levando, em última análise, à implantação de ransomware nos sistemas corporativos.

Não se trata apenas de mais uma história de phishing por e‑mail. É um sinal de que os atacantes estão a visar deliberadamente as plataformas de colaboração em que milhões de funcionários confiam por padrão, o que obriga a repensar a forma como as organizações treinam as equipas para detetar engenharia social.

Como funciona o ataque de vishing pelo Microsoft Teams

Ao contrário do phishing tradicional, que depende de uma ligação ou anexo malicioso deixado numa caixa de entrada, este estilo de ataque recorre ao contacto de voz em tempo real. Os atacantes abordam os funcionários através do Microsoft Teams, muitas vezes fazendo‑se passar pelo suporte de TI interno ou por um fornecedor de confiança, e usam a chamada para criar um sentido de urgência e credibilidade. Como a interação acontece dentro de uma plataforma que os funcionários já usam diariamente para pedidos de trabalho legítimos, a barreira psicológica que normalmente leva as pessoas a desconfiar de e‑mails não solicitados simplesmente não existe.

Depois de estabelecida a confiança, o objetivo do atacante é simples: levar o alvo a realizar uma ação que conceda acesso remoto, seja aprovando um pedido de início de sessão, instalando uma ferramenta de acesso remoto ou partilhando credenciais a pretexto de um ticket de suporte. A partir daí, o atacante ganha um ponto de apoio na rede corporativa, o que prepara o terreno para a carga de ransomware.

Esta abordagem reflete uma tendência mais ampla de os atacantes explorarem ambientes Microsoft 365, em vez de atacarem diretamente vulnerabilidades de software. Ecoa táticas observadas na campanha Storm‑2949 que visa redefinições de senha do Microsoft 365, em que os agentes de ameaça manipularam fluxos de trabalho confiáveis na cloud em vez de dependerem apenas de malware para violar organizações.

Por que o phishing por voz burla o treinamento de segurança tradicional

A maioria dos programas de sensibilização para a segurança empresarial está construída em torno do e‑mail: não clique em links desconhecidos, verifique o endereço do remetente, passe o rato antes de confiar. O phishing por voz contorna praticamente todo esse treinamento porque não há um e‑mail para analisar, nem um domínio obviamente falsificado, nem uma mensagem estática que o funcionário possa reencaminhar silenciosamente para a equipa de segurança analisar.

Uma chamada telefónica ou do Teams ao vivo também introduz uma pressão social que o e‑mail não tem. Uma voz calma e profissional a dizer que é do suporte de TI, sobretudo se fizer referência a terminologia interna real ou a acontecimentos recentes da empresa, pode levar um funcionário a agir rapidamente antes de ter tempo para pensar criticamente. Essa combinação de plataforma confiável, pressão em tempo real e preparação limitada dos funcionários é exatamente o motivo pelo qual o vishing se tornou um ponto de entrada atrativo para os operadores de ransomware.

O que o ransomware Chaos faz uma vez dentro da rede

Depois de os atacantes usarem a chamada de vishing para estabelecer acesso, a etapa seguinte é implantar o ransomware Chaos. Tal como outras famílias de ransomware, o Chaos foi concebido para se mover através de uma rede comprometida, encriptar ficheiros e sistemas e manter os dados como reféns até que um resgate seja pago. O dano não se limita a uma única máquina; os operadores de ransomware costumam tentar espalhar‑se o mais amplamente possível dentro da rede antes de desencadear a encriptação, maximizando a pressão sobre a organização vítima para pagar.

O que torna esta campanha digna de nota é o método de entrega, mais do que o ransomware em si. Ao obter um acesso com aparência legítima através de um canal de comunicação confiável, os atacantes conseguem potencialmente ultrapassar várias camadas de defesas técnicas que normalmente assinalariam transferências suspeitas ou tentativas de início de sessão anómalas.

Defesas para trabalhadores remotos e híbridos: MFA, VPNs e verificação de voz

Para organizações com equipas distribuídas ou híbridas, este tipo de ataque é um lembrete de que a verificação de identidade precisa de ir além do e‑mail e dos ecrãs de início de sessão. Alguns passos práticos podem reduzir significativamente o risco:

  • Exigir autenticação multifator (MFA) para todos os acessos remotos e sistemas sensíveis, e treinar os funcionários para nunca aprovarem uma solicitação de MFA que não tenham iniciado pessoalmente.
  • Estabelecer uma política clara, válida para toda a empresa, para verificar pedidos de suporte de TI, como, por exemplo, exigir que os funcionários liguem de volta para um número interno conhecido, em vez de confiarem numa chamada ou mensagem recebida pelo Teams.
  • Utilizar uma VPN juntamente com controlos de acesso rigorosos, de modo a que, mesmo que as credenciais sejam comprometidas, o movimento lateral na rede seja mais difícil de concretizar.
  • Alargar a formação de sensibilização para o phishing de modo a abranger a engenharia social por voz e por chat, e não apenas por e‑mail.

O que isto significa para si

Se trabalha num regime híbrido ou remoto e utiliza o Microsoft Teams com regularidade, trate as chamadas ou mensagens inesperadas do "suporte de TI" com o mesmo ceticismo que aplicaria a um e‑mail suspeito. Os departamentos de TI legítimos raramente contactam de forma imprevista através de plataformas de chat a pedir que instale software ou aprove pedidos de acesso de imediato. Em caso de dúvida, desligue, verifique através de um canal oficial e comunique a interação à sua equipa de segurança imediatamente.

Principais conclusões

O aumento dos ataques de ransomware por vishing no Microsoft Teams mostra que os cibercriminosos estão a adaptar‑se mais rapidamente do que muitos programas de formação empresarial. À medida que as ferramentas de colaboração se tornam a nova linha da frente da engenharia social, as organizações precisam de atualizar as suas defesas em conformidade: reforçar as políticas de MFA, formalizar os procedimentos de verificação de TI e garantir que os funcionários compreendem que a confiança numa plataforma não é igual à confiança em cada pessoa que a utiliza. Manter‑se alerta para pedidos de voz e chat não solicitados, por mais convincentes que pareçam, continua a ser uma das formas mais simples e eficazes de travar um ataque de ransomware antes que ele comece.