Ataques via chat externo do Teams: falso suporte de TI em 15 min

O ataque funciona porque fabrica o problema e depois oferece a solução. Segundo os achados da Arctic Wolf, os invasores primeiro inundam a caixa de entrada da vítima com centenas de confirmações de newsletters e assinaturas em poucos minutos. Sobrecarregado, o colaborador recebe de repente uma mensagem no Teams de alguém que diz ser o help desk e se oferece para resolver a situação.

Os nomes dos remetentes são deliberadamente comuns, como "IT Service Desk" seguido de um primeiro nome. A Arctic Wolf constatou que 30% a 40% dos casos usaram domínios padrão onmicrosoft.com, que dispensam verificação e podem ser criados em minutos. Os nomes de tenant costumam girar em torno de suporte, TI, admin, rede ou helpdesk, às vezes com "365" no final.

Três fatores estruturais dificultam a contenção. O acesso externo fica aberto a menos que um administrador o restrinja. O treinamento de conscientização costuma focar em e-mail, e não em chat. E o ataque é rápido: quando muitas vítimas são alvo em janelas curtas, isso sugere automação, e os defensores têm minutos, não horas, para reagir.

Fechar essa lacuna exige configuração coordenada do tenant, controles nos dispositivos e monitoramento, e é aí que uma equipe experiente de serviços gerenciados de TI se paga.

A cadeia vai do ruído na caixa de entrada ao acesso com controle do teclado em poucas etapas.

1. Bombardeio de e-mails. A caixa da vítima é inundada com confirmações de assinatura, gerando urgência e confusão.
2. Contato pelo Teams. Em minutos, chega uma mensagem de uma conta externa com nome de service desk, oferecendo ajuda com o problema de spam.
3. Acesso remoto. O suposto técnico pede que o usuário abra uma ferramenta de suporte remoto. O Quick Assist, integrado ao Windows, é a escolha mais comum, enquanto AnyDesk e ScreenConnect são usados para persistência.
4. Execução do payload. Em alguns casos, o usuário é instruído a executar um comando do PowerShell ou abrir um arquivo baixado, e o payload roda em menos de 15 minutos desde o primeiro contato.
5. Movimentação lateral. A partir do equipamento comprometido, os invasores exploram a rede e, em alguns casos, avançam para a implantação de ransomware. A Arctic Wolf observa que grupos como o Black Basta já usaram essa abordagem de acesso inicial.

Repare no que falta: nenhuma vulnerabilidade de software, nenhum anexo malicioso e nenhuma senha roubada. A vítima abre a porta voluntariamente, por isso aplicar patches não resolve. A detecção depende de identificar execuções incomuns de ferramentas remotas, atividade de PowerShell e novas conversas externas no Teams, tarefa típica de um SOC 24/7 com detecção e resposta gerenciadas.

Reforçar o acesso externo do Teams elimina uma via de ataque muito rápida sem tirar a colaboração do seu negócio. Com base nas defesas recomendadas na cobertura do relatório da Arctic Wolf, uma linha de base prática é:

• No centro de administração do Teams, em acesso externo, escolha "Permitir somente domínios externos específicos" e liste apenas os parceiros com quem você trabalha ativamente.
• Bloqueie o chat com contas não gerenciadas e contas de Teams para consumidores, e desative a opção que permite que usuários não gerenciados iniciem conversas.
• Bloqueie a federação com tenants de avaliação e ative a configuração que permite à sua equipe de segurança gerenciar domínios bloqueados.
• Restrinja o Quick Assist a perfis autorizados de TI e bloqueie ou remova ferramentas de monitoramento e gerenciamento remoto não autorizadas.
• Treine os colaboradores sobre como o suporte de TI real entra em contato e a ler a etiqueta Externo e o domínio real do remetente antes de responder.
• Ative o relatório de usuários finais da Microsoft para que mensagens suspeitas do Teams cheguem rápido à sua equipe de segurança.

O argumento de negócio é simples. Uma única sessão bem-sucedida pode levar a roubo de dados, extorsão e dias de indisponibilidade, enquanto esses controles custam pouco. Eles também apoiam objetivos de conformidade sobre controle de acesso e comunicação com terceiros, e dão aos auditores um registro claro de como a colaboração externa é governada.

A HIT Communications ajuda empresas a operar o Microsoft Teams como plataforma de colaboração e de telefonia sem abrir portas desnecessárias. Com mais de 30 anos de experiência na América Latina, nos Estados Unidos e na Europa, enxergamos o quadro completo: o serviço de voz, a rede e a camada de segurança.

Nossa equipe de Microsoft Teams Direct Routing e telefonia em nuvem pode revisar a configuração do seu tenant, a política de acesso externo e o esquema de chamadas. Nossos serviços de cibersegurança somam um centro de operações de segurança 24/7, monitoramento de SIEM e detecção e resposta gerenciadas, para que atividades incomuns de ferramentas remotas sejam investigadas em tempo real. Para a higiene do dia a dia, nossos serviços gerenciados de TI cobrem políticas de endpoint, controle de aplicações e apoio ao treinamento de usuários.

Como também operamos a conectividade subjacente, um único parceiro responsável pode alinhar política, monitoramento e resposta do circuito até a mesa de trabalho.

Os ataques via chat externo do Teams mostram que os invasores não precisam mais de um exploit quando podem simplesmente pedir acesso. Com mais de 400 incidentes relatados e execução de payload possível em menos de 15 minutos, esperar um incidente para revisar as configurações de acesso externo é um mau negócio.

Comece esta semana: restrinja os domínios externos, bloqueie contas não gerenciadas, limite o Quick Assist e lembre seus colaboradores de que o suporte de TI de verdade nunca pedirá que executem comandos a partir de um chat externo desconhecido. Se quiser uma revisão especializada do seu tenant do Teams ou um SOC gerenciado que vigie esse comportamento, fale com a equipe da HIT Communications e ajudaremos a fechar a lacuna antes que outro a encontre.