O golpe CEO Fraud, tradicionalmente aplicado por e-mail, ganhou uma nova frente de atuação. Criminosos passaram a utilizar o Microsoft Teams para se passar por executivos de empresas e abordar funcionários de forma direta, explorando a confiança associada à plataforma para obter informações sensíveis ou induzir transferências financeiras. Para Carlos Cabral, especialista em cibersegurança da Tempest Security Intelligence, empresa referência em cibersegurança no Brasil, o que torna esse ataque preocupante é a mudança de contexto.
“Enquanto muitos profissionais já estão habituados a desconfiar de e-mails suspeitos, plataformas como o Teams costumam ser percebidas como ambientes mais seguros por serem utilizadas na comunicação diária entre colegas, gestores e parceiros. Essa percepção pode reduzir a atenção dos usuários e aumentar a efetividade do ataque”, diz Cabral.
Segundo o time de Resonant, plataforma de Threat Intelligence da Tempest, o sucesso da fraude começa muito antes da primeira mensagem enviada à vítima. Antes de fazer o primeiro contato, os responsáveis pelo golpe costumam realizar um extenso trabalho de reconhecimento, reunindo informações sobre a empresa e seus colaboradores por meio de redes sociais, sites corporativos, comunicados à imprensa e plataformas profissionais, como o LinkedIn, o que ajuda a mapear a estrutura organizacional, identificar executivos e compreender a dinâmica das equipes.
“Com esse conhecimento, as abordagens se tornam mais convincentes, já que as mensagens podem citar projetos reais, nomes de gestores e situações plausíveis do dia a dia, construindo uma narrativa capaz de reduzir a desconfiança dos colaboradores e aumentar a credibilidade do contato”, complementa Cabral.
Além de definir os profissionais de maior escalão, como CEOs e diretores executivos, os atacantes também voltam suas atenções para as vítimas, com preferência por colaboradores do setor financeiro. “São essas pessoas que possuem acesso aos sistemas de pagamento e às contas corporativas, ou seja, podem movimentar dinheiro em nome da empresa”, diz.
Teams como foco
Disponível em 181 países, o Microsoft Teams é utilizado globalmente por mais de 320 milhões de pessoas, segundo dados da companhia. Com a facilidade de concentrar mensagens, compartilhar arquivos e permitir a interação entre diferentes áreas, seu uso passou a ocupar um papel central na rotina das empresas.
Como consequência, esses ambientes costumam transmitir uma percepção maior de legitimidade do que o e-mail, onde os usuários já estão mais acostumados a identificar tentativas de fraude. “Em um ambiente no qual decisões são tomadas rapidamente e solicitações chegam em tempo real, os colaboradores podem dedicar menos tempo à validação da identidade do remetente”, explica Cabral.
Conforme as investigações dos golpes feitas pela Resonant, dois cenários diferentes foram identificados com o uso do Teams. O primeiro é o abuso do acesso externo: a plataforma permite que usuários de organizações diferentes ou com contas não corporativas troquem mensagens diretamente com outras pessoas. Tal capacidade é parametrizável, de maneira que as empresas podem configurar as entidades com quem seus colaboradores podem interagir.
Em condições menos restritas, o criminoso usa um domínio fraudulento e configura uma conta com o nome de exibição idêntico ao do executivo-alvo. “A partir daí, basta usar a configuração permissiva da federação para contatar funcionários da empresa diretamente pelo Teams, aparentando ser um usuário legítimo”, diz o especialista. Por padrão, o próprio Teams adiciona a etiqueta “Externo” nesse tipo de comunicação, mas, muitas vezes, é ignorada.
O segundo cenário envolve o comprometimento de contas de serviço, criadas para finalidades operacionais, como contas vinculadas a salas de reunião e equipamentos ou contas usadas por sistemas e integrações automatizadas.
“Tais contas costumam ter limitações que as tornam alvos fáceis, como a ausência de autenticação multifator, senhas fracas ou raramente trocadas, e monitoramento reduzido em comparação a contas de usuários convencionais”, explica Cabral.
Ao tomar uma dessas contas, o atacante então altera o nome e foto de exibição para o do executivo-alvo, e passa a contatar funcionários. “Nesse caso, a mensagem não exibe nenhum indicador de origem externa. Para quem a recebe, a comunicação parece completamente legítima, originada de dentro da própria organização, sem qualquer sinal visual de alerta”, diz o especialista.
O passo a passo do golpe
O ataque normalmente começa com uma mensagem perguntando se o funcionário está no escritório e se tem alguma atividade importante a fazer em breve. Junto com o uso de linguagem formal, a estratégia é criar uma sensação de urgência, levando a vítima a realizar os próximos passos: compartilhar capturas de tela com informações sobre o capital de giro nas contas da empresa e, em seguida, o envio de transações para contas sob seu controle.
“Para reforçar a pressão, é comum que ele alegue tratar-se de um pagamento pendente, urgente ou sigiloso. A sensação de intimidação por estar lidando com a alta gestão, somada à urgência fabricada, é o que leva o funcionário a contornar controles que, em situações normais, seriam seguidos”, afirma Cabral.
Além de prejuízos financeiros, as empresas também podem sofrer com o comprometimento de contas corporativas, por meio de roubo de credenciais ou acesso remoto a sistemas internos.
Como se proteger
Por tratar-se de um golpe baseado em falhas de configuração e de conscientização, algumas medidas podem ser tomadas para combater o ataque. A principal recomendação é restringir a federação e qualquer comunicação com domínios externos não homologados, substituindo a configuração aberta ou desabilitando o acesso externo por completo.
O cuidado com as contas não para aí. “Reforçar a exibição da tag ‘Externo’ e treinar os usuários para reconhecê-la é igualmente importante. Já para as contas de serviço, um inventário deve ser realizado de tempos em tempos, identificando responsáveis, eliminando contas obsoletas e revisando permissões”, adiciona Cabral, que também recomenda a aplicação da autenticação multifator e a restrição ao acesso a IPs e dispositivos autorizados.
Sobre
A Tempest Security Intelligence é referência em cibersegurança no Brasil. Fundada em 2000 no Porto Digital, faz parte do grupo Embraer e oferece mais de 70 soluções em segurança digital, consultoria e integração, atendendo empresas de diversos setores.
