O golpe conhecido como CEO Fraud, tradicionalmente disseminado por e-mail, passou a utilizar o Microsoft Teams como novo canal para enganar colaboradores e obter informações sensíveis ou induzir pagamentos indevidos. O alerta é da Tempest Security Intelligence, empresa especializada em cibersegurança, que identifica uma mudança na forma como os criminosos exploram a confiança em plataformas corporativas de comunicação.
Segundo Carlos Cabral, especialista em cibersegurança da Tempest, a principal diferença está na percepção dos usuários em relação ao ambiente onde a abordagem ocorre.
“Enquanto muitos profissionais já estão habituados a desconfiar de e-mails suspeitos, plataformas como o Teams costumam ser percebidas como ambientes mais seguros por serem utilizadas na comunicação diária entre colegas, gestores e parceiros. Essa percepção pode reduzir a atenção dos usuários e aumentar a efetividade do ataque”, diz Cabral.
Ataque começa com coleta de informações sobre a empresa
De acordo com o time da Resonant, plataforma de Threat Intelligence da Tempest, os criminosos realizam uma etapa prévia de reconhecimento antes de abordar as vítimas. Informações públicas obtidas em redes sociais, sites corporativos, comunicados à imprensa e plataformas como o LinkedIn são utilizadas para mapear a estrutura organizacional, identificar executivos e compreender a rotina das equipes.
Com essas informações, os atacantes conseguem elaborar mensagens mais convincentes, mencionando projetos reais, gestores e situações compatíveis com o dia a dia da organização.
“Com esse conhecimento, as abordagens se tornam mais convincentes, já que as mensagens podem citar projetos reais, nomes de gestores e situações plausíveis do dia a dia, construindo uma narrativa capaz de reduzir a desconfiança dos colaboradores e aumentar a credibilidade do contato”, complementa Cabral.
Os criminosos costumam direcionar os ataques principalmente a profissionais das áreas financeira e administrativa, que possuem acesso a sistemas de pagamento e contas corporativas.
“São essas pessoas que possuem acesso aos sistemas de pagamento e às contas corporativas, ou seja, podem movimentar dinheiro em nome da empresa”, diz.
Dois métodos são utilizados para tornar a fraude mais convincente
Segundo a Tempest, as investigações identificaram dois cenários principais para a execução do golpe.
O primeiro explora o acesso externo permitido pelo Microsoft Teams. Quando a organização mantém configurações permissivas, o criminoso cria um domínio fraudulento, configura um perfil com o mesmo nome do executivo e inicia conversas diretamente com colaboradores. Embora o Teams exiba a identificação “Externo” nesse tipo de comunicação, esse aviso pode passar despercebido.
O segundo cenário envolve o comprometimento de contas de serviço utilizadas em salas de reunião, equipamentos ou integrações automatizadas.
“Tais contas costumam ter limitações que as tornam alvos fáceis, como a ausência de autenticação multifator, senhas fracas ou raramente trocadas, e monitoramento reduzido em comparação a contas de usuários convencionais”, explica Cabral.
Após assumir o controle dessas contas, os atacantes alteram o nome e a foto do perfil para simular a identidade de um executivo da empresa.
“Nesse caso, a mensagem não exibe nenhum indicador de origem externa. Para quem a recebe, a comunicação parece completamente legítima, originada de dentro da própria organização, sem qualquer sinal visual de alerta”, diz o especialista.
Pressão psicológica aumenta as chances de sucesso do golpe
O contato normalmente começa com perguntas simples para confirmar a disponibilidade do colaborador. Em seguida, o criminoso solicita informações financeiras, como capturas de tela contendo dados de contas da empresa, e posteriormente orienta a realização de transferências bancárias.
Segundo Cabral, o senso de urgência é um dos principais elementos utilizados para convencer a vítima. “Para reforçar a pressão, é comum que ele alegue tratar-se de um pagamento pendente, urgente ou sigiloso. A sensação de intimidação por estar lidando com a alta gestão, somada à urgência fabricada, é o que leva o funcionário a contornar controles que, em situações normais, seriam seguidos”, afirma Cabral.
Além dos prejuízos financeiros, a empresa pode sofrer comprometimento de credenciais e acesso indevido a sistemas internos.
Restrição de acesso externo e autenticação multifator reduzem riscos
A Tempest recomenda que as empresas revisem as configurações de federação do Microsoft Teams, restringindo ou desabilitando comunicações com domínios externos não autorizados.
A empresa também orienta reforçar a identificação de usuários externos, promover treinamentos de conscientização e revisar periodicamente as contas de serviço, eliminando contas obsoletas e restringindo permissões.
“Reforçar a exibição da tag ‘Externo’ e treinar os usuários para reconhecê-la é igualmente importante. Já para as contas de serviço, um inventário deve ser realizado de tempos em tempos, identificando responsáveis, eliminando contas obsoletas e revisando permissões”, adiciona Cabral, que também recomenda a aplicação da autenticação multifator e a restrição ao acesso a IPs e dispositivos autorizados.
