Atacantes se passam por equipe de suporte técnico no Microsoft Teams

Um grupo de hackers motivado financeiramente tem abusado do Microsoft Teams para invadir redes corporativas, segundo pesquisadores citados pelo Cybersecurity Dive. A campanha já atingiu dezenas de empresas nos Estados Unidos e no Canadá, usando personas falsas de suporte de TI para enganar funcionários e fazê-los conceder acesso remoto a suas máquinas. Uma vez lá dentro, os atacantes implantam ransomware, criptografando arquivos e exigindo pagamento.

Diferentemente de muitas invasões de alto perfil ligadas a espionagem patrocinada por Estados, pesquisadores afirmam que esta operação parece ser puramente financeira. Os atacantes não estão atrás de inteligência ou acesso de vigilância de longo prazo. Eles querem um resgate, e o Microsoft Teams se tornou uma ferramenta conveniente para consegui-lo.

Como o golpe funciona

A tática depende de engenharia social, e não de uma vulnerabilidade de software. Os atacantes contactam funcionários pelo Microsoft Teams, se passando por membros internos da equipe de suporte de TI. Como o Teams é uma ferramenta de comunicação confiável e cotidiana na maioria das organizações, os funcionários têm muito mais probabilidade de baixar a guarda do que se recebessem um e-mail não solicitado ou uma ligação de um número desconhecido.

Uma vez que o funcionário se convence de estar falando com o suporte de TI legítimo, o atacante o convence a conceder acesso remoto ao computador, muitas vezes sob o pretexto de resolver um problema técnico. A partir daí, os invasores podem se mover lateralmente pela rede, coletar credenciais e, por fim, implantar ransomware em sistemas e servidores compartilhados.

Essa abordagem reflete uma tendência mais ampla no cibercrime: os atacantes preferem cada vez mais a personificação e a exploração da confiança em vez de exploits técnicos, porque muitas vezes é mais fácil convencer uma pessoa a abrir a porta do que derrubar um firewall.

O impacto na privacidade de uma violação por ransomware

Embora o ransomware seja geralmente tratado como um problema de continuidade de negócios, arquivos criptografados e sistemas bloqueados são apenas parte da história. Essas campanhas frequentemente envolvem a exfiltração de dados antes mesmo do início da criptografia, o que significa que registros de funcionários, informações de clientes e comunicações internas já podem estar nas mãos dos atacantes no momento em que a nota de resgate aparece.

Esses dados não desaparecem necessariamente depois que o resgate é pago ou o sistema é restaurado. Eles podem ser vendidos, vazados ou mantidos para futuras extorsões. As consequências vão muito além da empresa violada. Funcionários cujas credenciais foram coletadas, clientes cujos registros estavam armazenados em servidores comprometidos e parceiros que trocaram arquivos confidenciais podem todos ser expostos.

A infraestrutura por trás dessas campanhas muitas vezes depende de provedores de hospedagem dispostos a fazer vista grossa. As autoridades já perceberam esse problema em outros lugares: recentemente, a polícia holandesa apreendeu 800 servidores e prendeu duas pessoas ligadas a uma operação de hospedagem à prova de balas que vinha apoiando atividades de cibercrime — um lembrete de que campanhas de ransomware raramente operam isoladamente. Elas dependem de um ecossistema mais amplo de serviços de hospedagem, lavagem de dinheiro e distribuição que ultrapassa fronteiras.

O que isso significa para você

Se sua organização usa o Microsoft Teams, e a maioria usa, esta campanha é um alerta direto de que plataformas internas de chat agora são vetores de ataque viáveis, não apenas caixas de entrada de e-mail. Os departamentos de TI devem tratar mensagens não solicitadas no Teams de contatos de "suporte" com a mesma desconfiança normalmente reservada a e-mails de phishing.

Para os funcionários individualmente, a lição é simples: o suporte de TI legítimo raramente inicia contato dessa forma, e quase nunca pede que você conceda acesso remoto de imediato sem uma verificação prévia por meio de um sistema de chamados conhecido ou canal interno. Se algo parecer apressado ou excepcionalmente urgente, essa urgência costuma ser o sinal de alerta.

Para empresas que lidam com dados de clientes ou funcionários, esta campanha também ressalta por que a minimização de dados e a segmentação de rede são importantes. Limitar a quantidade de informações confidenciais que ficam em um único sistema acessível reduz o que um atacante pode extrair, mesmo que ele ultrapasse a primeira linha de defesa.

Passos práticos para reduzir seu risco

  • Verifique qualquer contato de suporte de TI por meio de um sistema de chamados oficial ou de uma linha telefônica interna conhecida antes de conceder acesso remoto ao seu dispositivo.
  • Ative a autenticação multifator no Teams, no e-mail e nas ferramentas de acesso remoto para que uma única credencial comprometida não seja suficiente para se mover lateralmente.
  • Treine os funcionários especificamente para táticas de personificação no Teams, não apenas para phishing por e-mail, já que os atacantes estão claramente diversificando seus pontos de entrada.
  • Segmente dados confidenciais e limite privilégios administrativos para que uma única conta comprometida não alcance toda a rede.
  • Mantenha backups offline e testados para que as exigências de ransomware percam sua vantagem.

Esta campanha de ransomware via Microsoft Teams é um lembrete de que os atacantes vão onde a confiança já existe. À medida que as organizações dependem cada vez mais de plataformas de colaboração para as operações diárias, essas mesmas ferramentas se tornam alvos atraentes para a personificação. Ficar alerta a pedidos inesperados de "suporte", verificar identidades por canais separados e manter o treinamento de segurança atualizado são maneiras simples, mas eficazes, de se manter um passo à frente.