Grupos de extorsão se passam por help desk via vishing e Microsoft Teams para obter acesso inicial

Pesquisadores da ReliaQuest documentaram um aumento expressivo de ataques de vishing (phishing por voz) e phishing via Microsoft Teams, com grupos de extorsão como os ligados à marca ShinyHunters usando a técnica para conseguir o primeiro ponto de apoio dentro de redes corporativas. O ataque começa com uma ligação telefônica — inclusive para celulares pessoais dos funcionários — ou mensagem via conta externa do Teams, em que o criminoso se apresenta como suporte técnico interno (help desk) da própria empresa.

O pulo do gato da técnica é que ela não depende de explorar nenhuma vulnerabilidade de software: o atacante pede ao funcionário para completar uma ação rotineira e aparentemente inofensiva, como abrir um software de suporte remoto já conhecido na empresa, aprovar uma solicitação de autenticação multifator que chega no celular, ou digitar um código de registro de dispositivo. Como são ações que o time de TI legítimo pede com frequência, a vítima raramente desconfia. A partir do momento em que coopera, o criminoso consegue reutilizar tokens de sessão roubados, abusar da aprovação de MFA ou registrar um dispositivo próprio como confiável — e esse último ponto é o mais perigoso, porque garante persistência mesmo depois que a vítima troca a senha, já que o dispositivo malicioso continua cadastrado como autorizado.

Esse tipo de ataque evidencia um ponto cego comum em programas de segurança corporativa: o treinamento antiphishing costuma focar em e-mails com links suspeitos, mas pouco em ligações telefônicas ou chamadas no Teams vindas de contas externas se passando por colegas. Como o pedido é verbal e urgente ("preciso que você aprove agora para resolver um problema de acesso"), a vítima tem pouco tempo para verificar a identidade de quem está do outro lado.

Na prática, a melhor defesa é tratar qualquer contato não solicitado de "suporte técnico" — por telefone, Teams ou qualquer canal — com verificação fora de banda: desligar e ligar de volta para um número oficial já conhecido, nunca aprovar uma solicitação de MFA que a própria pessoa não iniciou, e exigir que qualquer registro de novo dispositivo passe por um canal formal de TI com validação adicional. Do lado organizacional, vale restringir ou monitorar contas externas no Microsoft Teams, alertar sobre picos de aprovação de MFA fora do padrão do usuário, e revisar periodicamente a lista de dispositivos registrados por conta, removendo os que não foram objeto de um chamado formal.