Criminosos passaram a utilizar o Microsoft Teams para aplicar o chamado golpe do falso CEO (CEO Fraud), modalidade de fraude baseada em engenharia social que busca convencer funcionários a compartilhar informações confidenciais ou realizar transferências financeiras. Segundo levantamento da Tempest Security Intelligence, a migração para a plataforma ocorre porque ela transmite uma maior sensação de legitimidade aos usuários.
Em nota enviada ao TechTudo, a Microsoft afirmou que os ataques não decorrem de uma vulnerabilidade do Teams, mas do uso de técnicas de engenharia social e phishing pelos criminosos.
O que é o golpe do falso CEO
Também conhecido como CEO Fraud ou Business Email Compromise (BEC), o golpe consiste em criminosos se passarem por executivos de uma empresa para induzir colaboradores a executar ações em benefício dos fraudadores.
As abordagens costumam envolver pedidos urgentes para transferências bancárias, compartilhamento de dados confidenciais ou envio de credenciais de acesso. A estratégia explora a autoridade atribuída a cargos de liderança para reduzir a desconfiança das vítimas.
Embora tradicionalmente fosse aplicado por e-mail, a Tempest identificou que os criminosos passaram a utilizar o Microsoft Teams, plataforma amplamente adotada por empresas para comunicação interna.
Como o Microsoft Teams passou a ser explorado
Segundo a Tempest Security Intelligence, aplicativos corporativos de colaboração costumam transmitir mais confiança do que o e-mail, tornando as abordagens mais convincentes.
De acordo com o especialista em cibersegurança Carlos Cabral, da Tempest, essa percepção reduz a desconfiança dos usuários e aumenta as chances de sucesso da fraude, especialmente em ambientes onde as solicitações são feitas em tempo real.
Antes do contato com a vítima, os criminosos realizam um levantamento detalhado da empresa utilizando informações públicas disponíveis em redes sociais, sites institucionais, comunicados à imprensa e plataformas como o LinkedIn.
Com esses dados, conseguem identificar executivos, compreender a estrutura organizacional, conhecer projetos em andamento e selecionar funcionários estratégicos, principalmente das áreas financeira e administrativa.
Como o golpe funciona
A Tempest identificou dois principais métodos utilizados pelos criminosos no Microsoft Teams.
No primeiro, os golpistas aproveitam o recurso de acesso externo da plataforma para criar contas em domínios fraudulentos utilizando o mesmo nome de exibição de executivos da empresa e iniciar conversas diretamente com funcionários.
No segundo cenário, considerado mais difícil de detectar, o criminoso compromete uma conta de serviço da própria organização, normalmente protegida por controles de segurança menos rigorosos, alterando seu nome e foto para se passar por um executivo.
Em ambos os casos, a conversa começa com mensagens aparentemente comuns antes de evoluir para pedidos urgentes, como envio de capturas de tela com informações financeiras, compartilhamento de dados sigilosos ou realização de pagamentos.
Segundo a Tempest, a combinação entre a autoridade do suposto executivo e a sensação de urgência faz com que muitas vítimas ignorem os procedimentos internos de validação.
Sinais que podem indicar a fraude
Entre os principais indícios apontados pela Tempest está a identificação de contatos externos. O Microsoft Teams exibe, por padrão, a etiqueta “Externo” em conversas iniciadas por usuários de outras organizações.
Além disso, pedidos incomuns, urgentes ou tratados como sigilosos, principalmente envolvendo pagamentos, credenciais ou informações financeiras, devem ser considerados sinais de alerta.
A recomendação é sempre confirmar esse tipo de solicitação por outro canal, como telefone, videochamada ou conversa presencial.
Como empresas podem reduzir os riscos
A Tempest recomenda que as empresas reforcem tanto as medidas técnicas quanto o treinamento dos colaboradores.
Entre as principais orientações estão restringir ou desabilitar a comunicação com domínios externos não homologados no Microsoft Teams, reforçar o reconhecimento da etiqueta “Externo” e promover treinamentos periódicos sobre golpes de engenharia social.
A empresa também recomenda manter um inventário atualizado das contas de serviço, eliminar contas obsoletas, revisar permissões e adotar autenticação multifator (MFA), além de restringir o acesso dessas contas a dispositivos e endereços IP autorizados.
Em seu posicionamento ao TechTudo, a Microsoft reforçou que os casos relatados não decorrem de falhas no Teams e destacou que a plataforma oferece controles de segurança e administração capazes de reduzir a superfície de ataque quando corretamente configurados.
O que fazer ao receber uma mensagem suspeita
Especialistas orientam que qualquer solicitação inesperada envolvendo informações confidenciais, credenciais ou pagamentos seja confirmada diretamente com o suposto remetente por outro meio de comunicação.
Caso haja suspeita de fraude, a recomendação é interromper imediatamente a conversa e comunicar a equipe de Tecnologia da Informação (TI) ou de Segurança da Informação da empresa.
Se informações já tiverem sido compartilhadas ou algum pagamento realizado, o incidente deve ser reportado o mais rápido possível para que sejam adotadas medidas de contenção, como bloqueio de acessos comprometidos, tentativa de interrupção da transação financeira e início da resposta ao incidente.
Fonte: TechTudo