Golpe de phishing em cadeia usa convites de calendário encaminhados por colegas
Pesquisadores da Fortra identificaram uma campanha em que atacantes se passam por clientes em potencial, contatam funcionários fora da área comercial e os convencem a encaminhar um link de agendamento ao time de vendas. O vendedor, ao receber o convite de um colega conhecido, confia e acaba inserindo credenciais do Microsoft 365 numa página de login falsa embutida no fluxo de agendamento.
O golpe explora um elo que raramente é monitorado: a confiança entre colegas de uma mesma empresa. Em vez de mandar o phishing direto para quem toma a decisão de compra, o atacante aborda primeiro um funcionário qualquer — recepção, suporte, RH — fingindo ser um cliente interessado e pedindo para ser encaminhado ao setor de vendas. Esse funcionário, sem perceber nada de anormal, repassa o link para um colega de vendas, e é exatamente esse repasse interno que dá credibilidade ao ataque.
Tecnicamente, cada etapa isolada da cadeia parece inofensiva: um e-mail pedindo contato comercial, um link de agendamento de reunião, um encaminhamento entre colegas. O golpe só se revela quando o vendedor abre o link e é levado a uma página de agendamento clonada que, em algum ponto do fluxo, solicita login com conta Microsoft 365 — é aí que a credencial corporativa é roubada. Como o e-mail chega de dentro da própria organização, filtros de phishing baseados em reputação de remetente externo tendem a não barrar a mensagem.
Esse tipo de ataque é particularmente eficaz contra times comerciais porque eles são treinados a responder rápido a qualquer sinal de lead qualificado, e a pressão por performance reduz a cautela diante de um link de agendamento aparentemente legítimo. A combinação de pretexto comercial plausível com o selo de confiança de um encaminhamento interno é o que burla o ceticismo que normalmente protegeria contra phishing externo.
Para se proteger, empresas devem treinar não só vendas, mas qualquer função que possa ser usada como intermediária de encaminhamento, para desconfiar de pedidos de reunião vindos de contatos externos desconhecidos, mesmo quando o pedido chega por um colega. Na prática, vale sempre checar a URL da página de agendamento antes de inserir qualquer credencial, preferir autenticação multifator resistente a phishing (como chaves FIDO2) para contas Microsoft 365, e orientar o time a confirmar por canal separado (telefone, chat interno) a legitimidade de qualquer solicitação de login embutida em um fluxo de agendamento externo.