Golpe de convite de calendário falso usa cadeia de confiança interna para roubar credenciais do Microsoft 365
A Fortra documentou uma campanha em que o criminoso se passa por um cliente em potencial para conseguir que um funcionário sem relação com vendas encaminhe, para um colega do time comercial, um link de agendamento malicioso. Como o link chega via encaminhamento de um colega confiável, o vendedor baixa a guarda e insere suas credenciais do Microsoft 365 em uma página de agendamento falsa — um exemplo de como engenharia social explora a cadeia de confiança interna, não apenas a confiança em remetentes externos.
A campanha descrita pela Fortra e relatada na newsletter CyberheistNews da KnowBe4 inverte a lógica mais comum de phishing, que normalmente tenta convencer a vítima a confiar em um estranho. Aqui, o atacante contata primeiro um funcionário que não tem relação com vendas — alguém do suporte, do financeiro, da recepção — fingindo ser um cliente em potencial interessado no produto da empresa. Esse primeiro contato é deliberadamente de baixo risco: não pede senha, não pede dinheiro, apenas pede para ser colocado em contato com alguém da equipe comercial.
O funcionário, querendo ser prestativo, oferece conectar o "prospect" a um vendedor e recebe de volta um link de agendamento de reunião, que encaminha internamente ao colega de vendas. É exatamente esse encaminhamento que faz o golpe funcionar: o vendedor não recebe o link de um estranho, e sim de um colega conhecido, dentro do fluxo normal de passagem de leads. Como cada etapa da cadeia parece legítima isoladamente, ninguém no meio do caminho tem motivo óbvio para desconfiar, e o cálculo de risco do destinatário final despenca. Ao clicar no botão "agendar reunião", o vendedor cai em uma página que imita o fluxo de login da Microsoft e insere suas credenciais do Microsoft 365, entregando-as diretamente ao atacante.
Tecnicamente, o golpe não depende de nenhuma falha de software: é uma cadeia de engenharia social em múltiplos saltos, desenhada para transferir confiança de pessoa para pessoa até atingir o alvo real. Esse padrão é mais difícil de pegar em treinamentos tradicionais de phishing, que costumam ensinar a desconfiar de remetentes desconhecidos — aqui, o remetente imediato é sempre alguém confiável, só a origem da cadeia é maliciosa.
A mesma edição da newsletter também cita, em menor destaque, campanhas de phishing que usam iscas sobre acesso gratuito a modelos de IA (como falsas promoções de "Claude Max grátis") e golpes de suporte técnico via anúncios do Google com alertas de segurança falsos — ambos seguindo a mesma lógica de abusar da confiança em marcas conhecidas para obter credenciais ou pagamento. Para reduzir o risco desse tipo de cadeia, vale treinar equipes para desconfiar de qualquer link de agendamento ou login encaminhado — mesmo por colega confiável — quando a origem for um contato não solicitado, habilitar MFA resistente a phishing (chaves de segurança FIDO2) para contas do Microsoft 365, e orientar o time comercial a nunca inserir credenciais corporativas fora do fluxo oficial de SSO da empresa.