Golpes via Microsoft Teams: Como o Falso Help Desk Está Invadindo Empresas
Durante anos, o e-mail foi o principal vetor de ataques de phishing e engenharia social corporativa. Em 2025 e 2026, uma mudança significativa está acontecendo: cibercriminosos migraram para o Microsoft Teams, explorando a confiança que colaboradores depositam em mensagens recebidas nessa plataforma.
A técnica mais documentada é o "Falso Help Desk": atacantes se passam por suporte de TI ou Microsoft via Teams, alegando um problema urgente de segurança na conta do usuário e solicitando acesso remoto ao computador. Uma vez concedido o acesso, em minutos instalam malware, roubam credenciais e estabelecem persistência na rede corporativa.
Por Que o Teams se Tornou Vetor de Ataque
Vários fatores tornaram o Microsoft Teams um canal privilegiado para ataques:
Confiança inerente: Colaboradores tratam mensagens no Teams como comunicações internas confiáveis — o alerta interno de TI via Teams parece muito mais legítimo do que um e-mail externo
Chat externo habilitado por padrão: O Teams permite por padrão que usuários de fora da organização iniciem conversas com qualquer colaborador — a maioria das empresas não desabilitou esse recurso
Sem filtros anti-phishing: Ao contrário do e-mail corporativo com gateways de segurança, o Teams frequentemente não tem as mesmas camadas de proteção
Nomes convincentes: Atacantes criam tenants do Microsoft 365 com nomes como "IT Support", "Microsoft Security Team" ou imitando o nome da empresa-alvo
Como Funcionam os Ataques via Teams
O Golpe do Falso Help Desk
Atacante cria uma conta ou tenant do M365 com nome convincente (ex: "Suporte TI [Nome da Empresa]")
Inicia contato via Teams com colaboradores selecionados via OSINT (geralmente não-técnicos com acesso a sistemas financeiros ou dados sensíveis)
Alega problema urgente: "Detectamos atividade suspeita na sua conta", "Sua senha expira em 1 hora", "Há ransomware no seu dispositivo"
Solicita instalação de ferramenta de acesso remoto "para resolver o problema" — AnyDesk, TeamViewer ou Microsoft Quick Assist
Com acesso remoto, instala malware, rouba credenciais salvas no navegador, exfiltra arquivos e estabelece persistência
Distribuição de Malware via Teams
O Teams permite o compartilhamento de arquivos. Atacantes que comprometeram uma conta interna (via phishing de e-mail ou credenciais vazadas) usam essa conta para distribuir malware para toda a organização via Teams, com mensagens como "nova versão do software de gestão" ou "atualização urgente de segurança".
QR Code Phishing (Quishing) via Teams
Tendência crescente em 2026: imagens com QR codes enviadas via Teams que redirecionam para páginas de login falsas. Como QR codes não são rastreados por filtros anti-phishing de URL, passam despercebidos por muitas ferramentas de segurança.
Casos Reais de Impacto
Em 2025, o grupo de ameaças Storm-0539 usou extensivamente o Teams para ataques de gift card fraud e BEC (Business Email Compromise) em empresas americanas e canadenses, com perdas documentadas acima de US$ 10 milhões. Grupos similares foram identificados operando contra empresas brasileiras no mesmo período.
O grupo Midnight Blizzard (APT29/Cozy Bear, ligado à inteligência russa) usou o Teams como vetor de ataque a organizações governamentais e do setor privado, criando tenants falsos do Microsoft 365 para enganar colaboradores.
Como Proteger Sua Empresa
Configurações de Segurança do Teams
Restringir chat externo: No Teams Admin Center, limite quem pode iniciar conversas com usuários externos ou desabilite completamente se não houver necessidade de negócio
Federated domains allowlist: Se chat externo for necessário, configure allowlist com apenas os domínios parceiros autorizados
Desabilitar acesso de convidados desnecessário: Guest access permite que usuários externos entrem em canais — revise e minimize
Políticas de compartilhamento de arquivos: Restrinja uploads e downloads de arquivos executáveis via Teams
Treinamento Específico para Teams
Eduque colaboradores que suporte de TI real nunca solicitará instalação de software de acesso remoto via mensagem — esse processo sempre segue um procedimento formal
Ensine a verificar o domínio do remetente em mensagens externas — usuários de fora da organização aparecem com indicação "(Externo)" no Teams
Crie procedimento claro para relatar mensagens suspeitas no Teams à equipe de segurança
Proteção Técnica Adicional
Implemente Microsoft Defender for Office 365 P2 que inclui proteções específicas para Teams
Habilite Safe Attachments e Safe Links para o Teams no Microsoft Defender
Use Conditional Access para bloquear acesso ao Teams de dispositivos não gerenciados
Monitore logs do Teams no Microsoft Sentinel ou SIEM para detectar padrões suspeitos
Controles Administrativos Anti-Acesso Remoto
Bloqueie a instalação de ferramentas de acesso remoto não autorizadas (AnyDesk, TeamViewer pessoal) via política de grupo (GPO) ou MDM. Se acesso remoto for necessário, use apenas a solução corporativa aprovada com logging e aprovação formal.
Simulações de Phishing via Teams
A LDL Security inclui vetores de ataque via plataformas colaborativas (Teams, Slack) em suas campanhas de simulação de phishing. Testamos se seus colaboradores reconhecem e reportam abordagens de falso suporte técnico, compartilhamento de arquivos suspeitos e outras técnicas usadas por atacantes reais. Entre em contato para proteger sua empresa também no Microsoft Teams.
Perguntas Frequentes
Com que frequência devo realizar este tipo de avaliação de segurança?
A recomendação geral do mercado é ao menos uma vez por ano para organizações sem um programa de segurança maduro, e a cada 6 meses para ambientes que processam dados sensíveis como informações financeiras, de saúde ou dados pessoais de clientes. Além do ciclo anual, avaliações adicionais são recomendadas após mudanças significativas no ambiente — como lançamento de novos sistemas, fusões e aquisições, migração para cloud, ou após um incidente de segurança. Empresas sujeitas a compliance como PCI-DSS, ISO 27001 e SOC 2 frequentemente têm requisitos específicos de frequência que devem ser seguidos.
Qual é o impacto nos sistemas durante uma avaliação de segurança?
Pentests profissionais são conduzidos de forma controlada para minimizar impactos operacionais. Em ambientes de produção, é comum realizar os testes mais agressivos fora do horário de pico ou em janelas de manutenção pré-acordadas. Para aplicações críticas, recomendamos trabalhar em ambiente de staging que espelhe a produção. O pentester e a equipe de TI da empresa devem manter comunicação constante durante o teste, com um ponto de contato disponível para interromper imediatamente qualquer atividade que cause impacto não esperado.
O que fazer após receber o relatório de pentest?
O relatório deve ser tratado como um plano de ação, não como um documento de arquivo. Após a apresentação dos resultados, priorize as vulnerabilidades críticas e altas para remediação imediata — idealmente em até 72 horas para críticas e 7 dias para altas. Vulnerabilidades médias devem ser corrigidas no próximo ciclo de sprint (2 semanas), e baixas podem ser endereçadas conforme o backlog permite. Após a remediação, é fundamental realizar um re-teste para confirmar que as correções foram efetivas e não introduziram novas vulnerabilidades. Documente todo o processo de remediação para evidências de due diligence em caso de auditoria ou incidente futuro.
O Cenário de Ameaças no Brasil em 2026
O Brasil enfrenta um cenário de ameaças particularmente desafiador. Ocupamos consistentemente posições de destaque nos rankings globais de ataques cibernéticos: somos o país mais atacado da América Latina e um dos 5 mais atacados no mundo em diversas categorias. Isso não é coincidência — reflete a combinação de uma das maiores populações de internet do mundo, alto volume de transações financeiras digitais, adoção acelerada de tecnologia sem crescimento equivalente em maturidade de segurança, e déficit crítico de profissionais especializados em cibersegurança.
Em 2025, grupos especializados em ransomware como Medusa, LockBit 3.0, BlackCat/ALPHV e grupos menores focaram especificamente em empresas brasileiras de médio e grande porte. O pagamento de resgates por empresas brasileiras no mercado negro chegou a cifras recordes — estimativas não oficiais indicam que mais de R$ 800 milhões foram pagos em resgates por empresas brasileiras em 2025, criando um mercado que atrai cada vez mais grupos criminosos para o país.
Além dos grupos de ransomware, o Brasil enfrenta ameaça crescente de grupos de fraude financeira sofisticados que combinam técnicas de engenharia social, malware bancário (como os trojans Grandoreiro e Casbaneiro, de origem brasileira) e comprometimento de sistemas de pagamento. Esses grupos têm operações profissionais, com divisão de tarefas, hierarquia definida e até programas de afiliados — funcionando como empresas do crime.
Construindo uma Cultura de Segurança
Tecnologia e processos são necessários mas insuficientes sem o elemento humano. A segurança cibernética eficaz requer uma cultura organizacional onde todos os colaboradores — do estagiário ao CEO — entendem seu papel na proteção dos ativos da empresa. Isso não significa tornar todos especialistas em segurança, mas garantir que todos saibam reconhecer situações suspeitas, saibam como reportá-las, e entendam as consequências reais de incidentes de segurança.
Empresas com cultura de segurança forte têm colaboradores que reportam e-mails suspeitos em vez de ignorá-los, que questionam solicitações incomuns mesmo de aparentes superiores, e que tratam senhas e credenciais com o cuidado que merecem. Essa cultura não se constrói com um treinamento anual obrigatório — ela se constrói com comunicação consistente, simulações práticas, exemplos reais do setor, e liderança que demonstra comprometimento com segurança através de suas próprias ações.
Próximos Passos: Como Começar a Proteger Sua Empresa Hoje
A segurança cibernética eficaz não precisa ser implementada de uma só vez. O segredo está em começar com ações de alto impacto e baixo custo, construindo gradualmente um programa de segurança maduro. Independentemente do tamanho da sua empresa, três ações têm retorno imediato e comprovado.
Primeiro, implemente autenticação multifator (MFA) em todos os sistemas críticos — e-mail corporativo, VPN, sistemas financeiros e ERP. O MFA bloqueia mais de 99% dos ataques baseados em credenciais comprometidas, segundo dados da Microsoft, e a maioria das soluções tem custo zero ou mínimo para implementar. Segundo, mantenha um processo rigoroso de gestão de patches: vulnerabilidades críticas devem ser corrigidas em no máximo 72 horas após a publicação. A maioria dos ataques bem-sucedidos explora vulnerabilidades com patches disponíveis há semanas ou meses. Terceiro, realize um pentest profissional para entender sua superfície de ataque real — não o que você acredita ser verdade, mas o que um atacante real conseguiria explorar.
Essas três ações, executadas corretamente, eliminam a maioria dos vetores de ataque mais comuns e colocam sua empresa muito à frente da média do mercado brasileiro em termos de postura de segurança. A partir dessa base sólida, você pode construir capacidades mais avançadas como monitoramento contínuo, threat intelligence e programas de conscientização estruturados.
A LDL Security está pronta para apoiar sua empresa em cada etapa dessa jornada. Entre em contato através do nosso site ou pelo e-mail contato@ldlsecurity.com.br para uma avaliação inicial gratuita.