Microsoft Teams

A Palo Alto Networks, através da sua unidade Unit 42, revelou uma nova campanha de ciberataques que explora chamadas de voz do Microsoft Teams. Os atacantes se passam por funcionários de suporte técnico para induzir colaboradores a instalar o malware EtherRAT, que concede acesso remoto a redes corporativas. O ataque começa com um e-mail de phishing disfarçado de ‘Pesquisa de Funcionários’, contendo um PDF malicioso. Após abrir o documento, a vítima recebe uma chamada de voz do Teams de uma conta externa que se faz passar por um ‘Administrador de Sistema’. Os pesquisadores notaram que a sessão do Teams exibia o rótulo ‘Externo desconhecido’, indicando que o chamador pertencia a um locatário diferente do Microsoft 365. Após convencer a vítima a conceder controle remoto, o atacante orienta a instalação de ferramentas legítimas de acesso remoto, como HopToDesk e AnyDesk, antes de baixar e executar um instalador MSI malicioso que carrega o EtherRAT. Este trojan de acesso remoto, escrito em Node.js, permite que os atacantes executem comandos, manipulem arquivos e roubem dados. A campanha destaca a crescente preocupação com a segurança do Microsoft Teams, levando a empresa a implementar novas proteções contra ataques de phishing e vishing.

A Microsoft anunciou uma nova política de administração para o Teams, permitindo que organizadores impeçam bots de terceiros de ingressar em reuniões sem aprovação. Essa funcionalidade, que estará disponível em diversas plataformas, visa aumentar a segurança e o controle sobre a participação de bots, que podem ser utilizados para tarefas automatizadas, como anotações e transcrições. Ao ativar a política, o Teams detecta automaticamente bots suspeitos, colocando-os na sala de espera e solicitando a confirmação do organizador para sua entrada. Mesmo em reuniões onde a entrada direta é permitida, bots identificados ainda precisarão de aprovação. Além disso, a Microsoft planeja implementar controles adicionais, como listas de permissão para bots aprovados e relatórios administrativos sobre a presença de bots. A partir de dezembro, administradores poderão bloquear usuários externos do Teams para evitar abusos por grupos de cibercrime, incluindo ataques de engenharia social. Essas medidas são parte de um esforço contínuo da Microsoft para proteger seus usuários contra ameaças emergentes, como fraudes e ataques de phishing, que têm se intensificado na plataforma.

Pesquisadores de segurança da Symantec alertaram que hackers de ransomware, conhecidos como DragonForce, estão utilizando servidores de retransmissão do Microsoft Teams para ocultar tráfego malicioso. Essa técnica, chamada de ‘Ghost Calls’, permite que os atacantes disfarcem suas comunicações de comando e controle (C2) como se fossem tráfego legítimo do Teams, dificultando a detecção por parte das equipes de segurança. O ataque ocorreu em dezembro de 2025, quando os hackers exploraram uma vulnerabilidade desconhecida em servidores SQL para obter acesso à rede de uma grande empresa de serviços nos EUA. Eles implantaram um malware personalizado chamado ‘Backdoor.Turn’, que utiliza o protocolo TURN do Teams para mascarar suas atividades. Essa abordagem representa um avanço significativo nas táticas de cibercrime, mostrando um nível de sofisticação elevado. A DragonForce, que opera sob um modelo de cartel de drogas, permite que afiliados utilizem sua infraestrutura e malware, aumentando a complexidade do cenário de ameaças. A situação exige atenção redobrada das empresas que utilizam o Microsoft Teams, uma vez que a técnica pode ser replicada em outros ambientes corporativos.

O ransomware DragonForce, ativo desde 2023, utiliza um malware personalizado chamado ‘Backdoor.Turn’ para esconder o tráfego de comando e controle dentro da infraestrutura de relé do Microsoft Teams. Esse backdoor explora o protocolo TURN (Traversal Using Relays around NAT) do Teams, que é usado para distribuir mensagens quando uma conexão direta não está disponível. Pesquisadores da Symantec relataram que os hackers usaram esse malware baseado em Go em um ataque contra uma grande empresa de serviços nos EUA. O ataque começou com a exploração de uma falha desconhecida em um servidor SQL, seguido pelo download de um arquivo ZIP contendo um executável legítimo e um DLL malicioso. Os atacantes conseguiram obter privilégios de nível de kernel e desativar ferramentas de segurança, utilizando técnicas de BYOVD (Bring Your Own Vulnerable Driver). O Backdoor.Turn permite execução de comandos, criação de processos, e roubo de credenciais, culminando na exfiltração de dados e na implantação do ransomware DragonForce. A Sophos destaca que essa campanha demonstra um nível excepcionalmente sofisticado de técnicas cibernéticas. A publicação inclui uma lista de indicadores de comprometimento (IoCs) para auxiliar na detecção e bloqueio de tais ataques.

A Microsoft confirmou que o aplicativo de colaboração Teams está apresentando problemas em alguns sistemas macOS, com prompts de localização não descartáveis. Usuários afetados relataram que, desde 14 de maio de 2026, têm recebido repetidamente solicitações para permitir o uso de sua localização, mesmo após escolherem a opção ‘Não permitir’. A empresa atribuiu o problema a uma atualização de segurança recente do macOS, que não está armazenando as seleções de permissão de localização dos usuários. A Microsoft está trabalhando com a Apple para entender a mudança e buscar uma solução, enquanto investiga uma correção interna para o Teams. Enquanto isso, os usuários são aconselhados a ativar manualmente o acesso à localização nas configurações do macOS. O problema afeta apenas alguns usuários do Teams no Mac que habilitaram o acesso à localização nas configurações do aplicativo. A Microsoft ainda não divulgou quais regiões estão afetadas ou quantos usuários foram impactados, mas os primeiros relatos surgiram em 11 de maio. Este incidente é classificado como um aviso, indicando que o impacto é limitado.

O grupo de cibercriminosos KongTuke, conhecido como um corretor de acesso inicial, começou a utilizar o Microsoft Teams para realizar ataques de engenharia social, conseguindo acesso persistente a redes corporativas em apenas cinco minutos. Os atacantes convencem os usuários a executar um comando PowerShell que instala o malware ModeloRAT, já observado em ataques anteriores. Essa mudança de tática marca a primeira vez que KongTuke utiliza uma plataforma de colaboração para obter acesso inicial, além de suas abordagens anteriores baseadas na web. Os pesquisadores da ReliaQuest notaram que a campanha está ativa desde pelo menos abril de 2026, com o grupo alternando entre cinco locatários do Microsoft 365 para evitar bloqueios. O comando PowerShell malicioso baixa um arquivo ZIP do Dropbox que contém um ambiente WinPython portátil, que por sua vez executa o malware. O ModeloRAT evoluiu, apresentando uma arquitetura de comando e controle mais resiliente, múltiplos caminhos de acesso independentes e mecanismos de persistência expandidos. Para se proteger contra esses ataques, recomenda-se restringir a federação externa do Microsoft Teams e utilizar indicadores de comprometimento para detectar atividades suspeitas.

O grupo de hackers iraniano MuddyWater, também conhecido como Mango Sandstorm, foi responsabilizado por um ataque de ransomware que se caracteriza como uma operação de “falsa bandeira”. Observado pela Rapid7 no início de 2026, o ataque utilizou técnicas de engenharia social através do Microsoft Teams para iniciar a infecção. Embora inicialmente parecesse um ataque típico de ransomware-as-a-service (RaaS), as evidências sugerem que se tratou de um ataque direcionado, disfarçado de extorsão oportunista. Os atacantes utilizaram compartilhamento de tela interativo para coletar credenciais e manipular a autenticação multifatorial (MFA). Em vez de criptografar arquivos, o grupo optou pela exfiltração de dados e persistência a longo prazo usando ferramentas de gerenciamento remoto como DWAgent. O uso de ferramentas disponíveis no submundo do cibercrime, como CastleRAT e Tsundere, indica uma tentativa de dificultar a atribuição do ataque. O grupo Chaos, que opera sob um modelo de dupla extorsão, também foi mencionado, destacando a convergência entre atividades patrocinadas por estados e táticas de cibercrime. Este incidente ressalta a necessidade de atenção redobrada por parte das empresas, especialmente em setores críticos, devido ao potencial impacto na segurança e conformidade com a LGPD.

Um novo grupo de ameaças cibernéticas, identificado como UNC6692, tem utilizado táticas de engenharia social através do Microsoft Teams para implantar uma suíte de malware em sistemas comprometidos. Segundo um relatório da Mandiant, o grupo se aproveita da confiança dos usuários ao se passar por funcionários de suporte técnico, convencendo as vítimas a aceitarem convites de chat de contas externas. A campanha inclui um bombardeio de e-mails de spam, criando uma falsa urgência que leva os alvos a buscar ajuda. O ataque é direcionado principalmente a executivos e funcionários de alto escalão, visando acesso inicial a redes corporativas para roubo de dados e movimentação lateral. O método envolve o uso de um link de phishing que leva ao download de um script malicioso, que instala uma extensão de navegador chamada SNOWBELT, permitindo ao atacante executar comandos remotamente. A Mandiant destaca que essa abordagem combina a exploração de serviços em nuvem legítimos para entrega de payloads e exfiltração de dados, o que dificulta a detecção por filtros de segurança tradicionais. A situação é preocupante, pois demonstra uma evolução nas táticas de ataque, com um foco crescente em alvos de alto valor dentro das organizações.

A Microsoft está prestes a implementar um novo Modo de Eficiência para o Microsoft Teams, destinado a dispositivos com recursos limitados de CPU e memória, visando melhorar a responsividade do aplicativo. De acordo com um comunicado da empresa, essa nova experiência otimizada será ativada por padrão em dispositivos elegíveis e ajustará o uso de recursos com base nas capacidades do dispositivo, melhorando também a qualidade das reuniões. Quando ativado, a resolução de vídeo enviada pela câmera do usuário será ajustada dinamicamente durante as reuniões, e o aplicativo Teams será iniciado sem um chat pré-selecionado, exibindo uma imagem estática na área de mensagens. A implementação começará em maio de 2026 e se estenderá até meados do mesmo mês. Os usuários poderão optar por não usar o modo de eficiência nas configurações do aplicativo. Além disso, a Microsoft está introduzindo melhorias de segurança, como uma nova ferramenta para relatar usuários externos suspeitos e um Relatório de Detecção de Segurança no centro de administração do Teams, que reunirá todas as detecções de segurança de mensagens. Essas melhorias visam ajudar as organizações a responder mais rapidamente a ameaças externas, como phishing e tentativas de impersonalização.

A Microsoft emitiu um alerta sobre fraudes no Microsoft Teams, onde hackers estão se passando por funcionários de TI para obter acesso remoto a sistemas corporativos. Os atacantes utilizam a funcionalidade de chat entre locatários para se comunicar com as vítimas, mesmo não pertencendo à organização. Eles convencem os usuários a conceder acesso remoto por meio de ferramentas legítimas, como o Quick Assist, que permite suporte técnico remoto. Após obter acesso, os criminosos podem executar códigos maliciosos disfarçados de programas confiáveis, movendo-se lateralmente pela rede da empresa e coletando dados sensíveis. Essa técnica é eficaz porque se disfarça de atividades normais de suporte de TI, não acionando alarmes de segurança. A Microsoft observou que os atacantes também instalam ferramentas de gerenciamento remoto, como o Rclone, para exfiltrar dados para armazenamento em nuvem. O alerta destaca a importância de conscientizar os usuários sobre esses tipos de ataques, que podem passar despercebidos devido à sua natureza camuflada.

A Microsoft emitiu um alerta sobre um aumento nos ataques cibernéticos que abusam da colaboração externa no Microsoft Teams. Os invasores se fazem passar por funcionários de TI ou suporte técnico, contatando os colaboradores por meio de chats interorganizacionais e convencendo-os a conceder acesso remoto, o que facilita o roubo de dados. A empresa observou uma cadeia de ataque em nove etapas, começando com a comunicação inicial e culminando na exfiltração de dados sensíveis utilizando ferramentas legítimas, como o Quick Assist e o Rclone. Essa abordagem torna difícil a detecção de atividades maliciosas, pois se misturam com operações normais de suporte de TI. A Microsoft recomenda que os usuários tratem contatos externos no Teams como não confiáveis e sugere que administradores restrinjam o uso de ferramentas de assistência remota e monitorem o uso do Windows Remote Management (WinRM). O alerta destaca a necessidade de vigilância constante e a implementação de medidas de segurança para proteger as redes corporativas contra essas ameaças.

Recentemente, o Brasil tem enfrentado um aumento alarmante de golpes digitais que se disfarçam como comunicações legítimas do Microsoft Teams. Esses ataques, que utilizam engenharia social, frequentemente envolvem convites falsos para reuniões, mensagens de cobrança e solicitações de transferências bancárias. Os criminosos se aproveitam da reputação da Microsoft para enganar os usuários, ocultando suas intenções maliciosas por meio de endereços de e-mail que parecem autênticos. Para ajudar os usuários a se protegerem, o artigo apresenta um checklist com quatro dicas essenciais: verificar a etiqueta de ’externo’ ao lado do nome do remetente, observar o domínio do e-mail, desconfiar de solicitações de ligação e sempre usar canais oficiais para verificar notificações. A Microsoft está implementando medidas para combater esses golpes, mas a conscientização dos usuários é fundamental para evitar fraudes.

A Microsoft está lidando com uma interrupção que afeta usuários do Microsoft Teams, resultando em atrasos e dificuldades de acesso ao serviço. De acordo com relatos de usuários na plataforma DownDetector, o problema impacta a participação em reuniões, o acesso ao aplicativo e o login. A empresa informou que os usuários podem enfrentar atrasos e falhas ao enviar e receber mensagens de chat que incluem mídia inline, como imagens e vídeos. O impacto é mais significativo para alguns usuários localizados na Europa e nos Estados Unidos. Embora a Microsoft não tenha divulgado o número exato de afetados, o incidente foi classificado como uma ‘degradação de serviço’, indicando um problema crítico com impacto visível para os usuários. Os engenheiros da Microsoft estão analisando dados de monitoramento para identificar a causa raiz e desenvolver um plano de remediação. Além disso, a empresa está lidando com outros incidentes que impedem usuários de ingressar em reuniões e adicionar agentes do Copilot Studio ao Teams. Após uma hora de interrupção, a Microsoft anunciou que os problemas foram resolvidos, revertendo uma alteração de configuração que havia causado a degradação do serviço.

Uma nova campanha de phishing está atingindo o Brasil, com foco no Microsoft Teams. De acordo com uma pesquisa da Check Point Software, o país lidera a América Latina em casos de convites falsos enviados pela plataforma, com mais de 6 mil usuários afetados. Os criminosos enviam mensagens que parecem legítimas, alertando sobre faturamentos e assinaturas, e induzem as vítimas a contatar um suposto serviço de suporte. A técnica utilizada envolve a substituição de caracteres para disfarçar o endereço de origem, que parece ser da Microsoft, aumentando a confiança das vítimas. Além disso, a campanha utiliza engenharia social e vishing, onde os criminosos tentam desestabilizar as vítimas por meio de ligações. Os setores mais impactados incluem manufatura, engenharia e construção, seguidos por tecnologia, educação e serviços financeiros. A pesquisa destaca que o Brasil representa 44% dos casos na América Latina, o que evidencia a necessidade de atenção redobrada por parte das empresas e profissionais de segurança da informação.

A Microsoft anunciou a implementação de uma nova funcionalidade no Teams, chamada “Reportar uma Chamada”, que permitirá aos usuários sinalizar chamadas suspeitas ou indesejadas como potenciais fraudes ou tentativas de phishing. Este recurso será ativado por padrão e estará disponível para chamadas individuais no Windows, Mac e na versão web do Teams. Ao clicar em “Mais opções” ao lado de uma chamada, os usuários poderão selecionar “Reportar uma Chamada” para enviar um relatório. A Microsoft destacou que, atualmente, os usuários não têm uma maneira simples de relatar chamadas suspeitas, o que deixa as organizações sem visibilidade sobre essas ameaças. Quando uma chamada é sinalizada, metadados limitados, como horários, duração e informações de identificação do chamador, serão compartilhados com a organização e com a Microsoft. A funcionalidade começará a ser disponibilizada para clientes de Lançamento Direcionado em meados de março, com conclusão prevista para o final de março, e estará disponível globalmente até o final de abril. Além disso, a Microsoft já havia introduzido outras funcionalidades de segurança no Teams, como a possibilidade de relatar alertas de ameaças falsos positivos e bloquear usuários externos, visando aumentar a proteção contra ataques de engenharia social.

Pesquisadores da CheckPoint alertam sobre uma nova técnica de hackers que utilizam o Microsoft Teams para roubar credenciais de e-mail. A estratégia envolve a criação de equipes com nomes relacionados a finanças ou cobranças urgentes, utilizando caracteres ofuscados para evitar a detecção automática. Após a criação da equipe, os atacantes enviam convites que parecem legítimos, levando os usuários a acreditar que precisam resolver problemas de cobrança. Durante chamadas para um número de suporte fraudulento, os hackers tentam extrair informações sensíveis, como senhas. Essa abordagem de engenharia social é mais eficaz do que métodos tradicionais de phishing, pois combina mensagens oficiais da Microsoft com uma linguagem que gera urgência e confiança. O ataque tem afetado organizações em diversos setores, com a maioria dos incidentes ocorrendo nos Estados Unidos, seguido pela Europa e América Latina, onde Brasil e México concentram a maior parte das ocorrências. A conscientização dos usuários e o treinamento para identificar sinais de alerta são essenciais para mitigar esses riscos.

A Microsoft anunciou a implementação de um novo recurso de segurança no Microsoft Teams, chamado “Brand Impersonation Protection” (Proteção contra Falsificação de Marca), que visa proteger os usuários contra fraudes em chamadas VoIP. A partir de fevereiro, a ferramenta começará a ser disponibilizada em um canal de distribuição selecionado. O objetivo principal é alertar os usuários sobre chamadas externas que possam utilizar engenharia social para roubar dados. O sistema realiza uma verificação das chamadas recebidas de contatos externos pela primeira vez, identificando possíveis fraudes antes mesmo que a ligação seja atendida. Caso o usuário aceite uma chamada sinalizada como suspeita, os avisos continuarão durante a conversa, caso os sinais de fraude persistam. A Microsoft destaca que essa medida é crucial para proteger informações confidenciais, especialmente em um ambiente corporativo onde o Teams é amplamente utilizado. A expectativa é que essa nova funcionalidade ajude a mitigar ataques de engenharia social, que podem resultar em prejuízos significativos para as empresas, especialmente em fraudes bancárias.

Uma nova campanha de cibersegurança está ameaçando usuários do Microsoft Teams e do Google Meet no Brasil, com downloads falsos que disseminam malware. Especialistas da CyberProof identificaram que cibercriminosos estão utilizando técnicas de envenenamento de SEO para manipular resultados de busca, fazendo com que sites fraudulentos apareçam no topo. Ao acessar esses sites, os usuários acreditam estar baixando as plataformas legítimas, mas, na verdade, estão instalando o backdoor Oyster, um malware que cria uma porta de entrada oculta no sistema. Esse malware instala um arquivo malicioso chamado ‘AlphaSecurity.dll’, que é executado a cada 18 minutos, mesmo após reinicializações do sistema. A campanha é particularmente preocupante para o setor financeiro, onde o uso do Teams e Meet é elevado, aumentando o risco de sequestro de dados por grupos de ransomware. Especialistas recomendam que os usuários evitem clicar em anúncios de download e busquem sempre canais oficiais para evitar infecções.

O grupo de cibercriminosos conhecido como Silver Fox está realizando uma operação de bandeira falsa, imitando um grupo de ameaças russo em ataques direcionados a organizações na China. Desde novembro de 2025, a campanha de envenenamento de SEO utiliza iscas do Microsoft Teams para enganar usuários desavisados a baixarem um arquivo malicioso que instala o malware ValleyRAT, associado a grupos de cibercrime chineses. A pesquisa da ReliaQuest destaca que a campanha visa usuários que falam chinês, incluindo aqueles em organizações ocidentais na China, utilizando um loader modificado do ValleyRAT com elementos cirílicos para confundir a atribuição. O ValleyRAT permite controle remoto de sistemas infectados, exfiltração de dados sensíveis e execução de comandos arbitrários. A campanha redireciona usuários para um site falso que oferece um suposto software do Teams, mas na verdade baixa um arquivo ZIP malicioso. O malware, uma versão trojanizada do Teams, manipula processos do sistema e estabelece conexões com servidores externos para controle remoto. Os objetivos do Silver Fox incluem ganho financeiro e coleta de inteligência sensível, representando riscos imediatos como vazamentos de dados e perdas financeiras para as organizações-alvo.

Pesquisadores de cibersegurança identificaram uma vulnerabilidade no Microsoft Teams que permite que atacantes contornem as proteções do Microsoft Defender for Office 365 através da funcionalidade de acesso de convidados. Quando um usuário atua como convidado em outro tenant, suas proteções são determinadas pelo ambiente anfitrião, não pela organização de origem. Essa situação se agrava com a nova funcionalidade do Teams, que permite que usuários conversem com qualquer pessoa via e-mail, incluindo aqueles que não utilizam a plataforma. A falta de proteção pode ser explorada por atacantes que criam ‘zonas livres de proteção’ em tenants maliciosos, onde podem enviar convites para usuários desavisados. Como os convites são enviados a partir da infraestrutura da Microsoft, eles podem passar despercebidos por soluções de segurança de e-mail. Para mitigar esse risco, recomenda-se que as organizações restrinjam as configurações de colaboração B2B a domínios confiáveis e treinem os usuários para desconfiar de convites não solicitados.

A Microsoft anunciou uma nova funcionalidade de segurança no Teams Premium chamada “Prevenir captura de tela”, que visa bloquear capturas de tela e gravações durante reuniões sensíveis. Essa atualização, que será implementada globalmente até o final de novembro de 2025, surge em resposta ao aumento das preocupações sobre vazamentos de dados não autorizados em ambientes de colaboração virtual, especialmente em setores como finanças, saúde e jurídico, onde informações confidenciais são frequentemente compartilhadas.

Pesquisadores da Check Point Research identificaram uma falha crítica no Microsoft Teams, conhecida como CVE-2024-38197, que permite a hackers falsificarem identidades e manipularem conversas. A vulnerabilidade foi reportada à Microsoft em março de 2024, mas a correção só foi implementada em outubro de 2025. Durante esse período, criminosos conseguiram alterar mensagens e notificações na plataforma, enganando usuários e comprometendo a segurança das comunicações corporativas. As táticas incluíam a edição de mensagens sem deixar rastros, o que dificultava a detecção de fraudes. Além disso, hackers podiam se passar por executivos e enviar notificações falsas, aumentando o risco de vazamento de informações sensíveis. Para mitigar esses riscos, as empresas devem adotar medidas de segurança, como a educação digital dos funcionários e a ativação da autenticação multifator. A falha representa um sério risco para a integridade das comunicações empresariais, especialmente em um ambiente onde o Teams é amplamente utilizado para interações corporativas.

A nova funcionalidade do Microsoft Teams, que permite que usuários iniciem chats com qualquer pessoa apenas utilizando um endereço de e-mail, levanta sérias preocupações de segurança. Essa atualização, que será lançada em novembro de 2025, visa facilitar a colaboração, mas especialistas em cibersegurança alertam que pode se tornar um vetor primário para campanhas de phishing e distribuição de malware. A capacidade de convidar participantes externos como convidados, sem processos de validação, amplia a superfície de ataque para agentes maliciosos. Os atacantes podem enviar convites falsos que parecem ser de parceiros de negócios legítimos, levando os usuários a clicarem em links maliciosos ou a revelarem credenciais sensíveis. Além disso, a possibilidade de exposição acidental de dados confidenciais aumenta, especialmente em ambientes de trabalho híbridos. Para mitigar esses riscos, recomenda-se que as organizações desativem a funcionalidade por meio do PowerShell e implementem autenticação multifatorial, auditorias regulares de políticas e treinamentos de conscientização sobre phishing. A Microsoft reconheceu as implicações de segurança e aconselhou as empresas a atualizarem suas documentações internas e treinarem suas equipes de suporte.

Pesquisadores de segurança digital da Expel identificaram uma nova campanha de ransomware que utiliza anúncios falsos do Microsoft Teams para enganar usuários. A quadrilha Rhysida, conhecida por seus ataques desde junho de 2025, cria páginas que imitam o site oficial de download do Teams. Quando a vítima clica no anúncio, é redirecionada para uma página falsa, onde, ao tentar baixar o software, seu dispositivo é infectado por dois malwares: OysterLoader e Latrodectus. Esses malwares permitem que os cibercriminosos acessem remotamente o aparelho da vítima, criptografando seus dados e abrindo portas para outros golpes digitais. A Rhysida já foi responsável por ataques significativos, como o que resultou no roubo de quase 600 GB de dados da Biblioteca Britânica em 2023. A campanha atual destaca a importância de cautela ao clicar em anúncios, mesmo em plataformas confiáveis como o Bing, e reforça a necessidade de medidas de segurança robustas para proteger dados sensíveis.

Pesquisadores de cibersegurança revelaram quatro falhas de segurança no Microsoft Teams que podem ter exposto usuários a ataques de impersonificação e engenharia social. As vulnerabilidades permitiram que atacantes manipulassem conversas, se passassem por colegas e explorassem notificações. Após a divulgação responsável em março de 2024, a Microsoft abordou algumas dessas questões em agosto de 2024, com patches subsequentes lançados em setembro de 2024 e outubro de 2025. As falhas possibilitam a alteração do conteúdo das mensagens sem deixar o rótulo de ‘Editado’ e a modificação de notificações para alterar o remetente aparente, permitindo que atacantes enganem vítimas a abrirem mensagens maliciosas. Além disso, os atacantes podiam alterar nomes de exibição em conversas privadas e durante chamadas, forjando identidades de remetentes. A Check Point destacou que essas vulnerabilidades minam a confiança essencial nas ferramentas de colaboração, transformando o Teams em um vetor de engano. A Microsoft classificou uma das falhas, CVE-2024-38197, como um problema de spoofing de severidade média, afetando o Teams para iOS, o que pode permitir que atacantes enganem usuários a revelarem informações sensíveis. Com a crescente adoção do Teams, a segurança dessas plataformas se torna crítica para a proteção de dados corporativos.

Uma campanha de publicidade maliciosa sofisticada está atualmente entregando o malware OysterLoader por meio de anúncios falsos de ferramentas de software populares, como PuTTY, Microsoft Teams e Zoom. Desde junho de 2025, o grupo de ransomware Rhysida, que atua desde 2021, tem explorado um modelo de malvertising eficaz, comprando anúncios no Bing que redirecionam usuários desavisados para páginas de download fraudulentas. Essas páginas imitam sites oficiais e, ao serem acessadas, instalam o OysterLoader, que serve como uma ferramenta de acesso inicial para permitir que hackers mantenham acesso a dispositivos e redes comprometidos. Para evitar a detecção, o grupo utiliza técnicas de compressão e ofuscação do malware, além de certificados de assinatura de código para dar uma falsa legitimidade aos arquivos maliciosos. Apesar da revogação de mais de 200 certificados pela Microsoft, a campanha continua ativa, com o uso de mais de 40 certificados novos. Essa escalada nas operações do grupo demonstra recursos financeiros substanciais e um compromisso com suas atividades maliciosas, diversificando suas táticas com a implementação de outros malwares, como o Latrodectus.

A Microsoft está prestes a lançar uma nova funcionalidade no Teams, que permitirá a detecção automática da localização de trabalho dos usuários por meio das redes Wi-Fi de suas organizações. Essa atualização, prevista para dezembro de 2025, visa facilitar a colaboração em ambientes híbridos, eliminando a necessidade de atualizações manuais de status. Ao conectar-se à rede corporativa, o Teams ajustará automaticamente o status do usuário para refletir sua localização física, ajudando na coordenação de interações presenciais. A funcionalidade respeitará os horários de trabalho definidos no calendário do Outlook, garantindo que as atualizações de localização ocorram apenas durante o expediente e sejam limpas automaticamente ao final do dia, abordando preocupações de privacidade. Embora a funcionalidade seja desativada por padrão, os administradores de TI poderão ativá-la, e os usuários terão a opção de compartilhar sua localização com colegas. A Microsoft enfatiza que essa ferramenta não se trata de vigilância, mas sim de promover conexões reais e reduzir confusões sobre a disponibilidade para colaborações presenciais.

Uma vulnerabilidade crítica na forma como o Microsoft Teams armazena dados de autenticação expôs organizações a um novo tipo de ataque. Pesquisadores de segurança descobriram que atacantes podem roubar tokens de acesso das instalações do Teams, permitindo-lhes ler conversas privadas, e-mails e documentos confidenciais sem precisar das senhas dos usuários. O ataque é particularmente preocupante, pois uma vez que um invasor ganha acesso inicial ao computador de um funcionário, ele pode extrair tokens de autenticação já armazenados no disco. Esses tokens funcionam como passes permanentes para os serviços da Microsoft, permitindo que os atacantes se façam passar por usuários legítimos e acessem todo o espaço de trabalho digital. O método de ataque se aproveita da forma como o Teams criptografa seus dados de autenticação, onde a chave de criptografia é armazenada em texto simples. Uma vez que os atacantes obtêm um token de acesso roubado, eles podem interagir diretamente com a API do Microsoft Graph, acessando conversas do Teams, lendo e enviando e-mails e navegando em documentos compartilhados. Para mitigar esses riscos, as empresas devem implementar soluções de detecção e resposta em endpoints e educar os funcionários sobre segurança de dispositivos.

A Microsoft está investigando uma série de interrupções que afetaram o acesso ao Microsoft 365, com a terceira queda ocorrendo na última semana. O problema, que impactou usuários em diversas regiões, foi classificado como uma falha na central administrativa, uma categorização que indica problemas significativos na experiência do usuário. Durante os incidentes, aplicativos como Microsoft Teams e Exchange Online foram os mais afetados, com dificuldades de autenticação e acesso. Na quarta-feira (8), a interrupção impediu o uso do Teams e do Exchange Online, enquanto na quinta-feira (9), problemas na rede Azure Front Door resultaram em falhas de acesso em regiões como Europa, Ásia e Oriente Médio. Embora os serviços já tenham sido restaurados, a Microsoft ainda está analisando as causas e recomenda que os usuários que enfrentam problemas entrem em contato com o suporte. Este não é o primeiro incidente, já que falhas semelhantes ocorreram em setembro, afetando o acesso a e-mails e calendários devido a bugs no código. A situação levanta preocupações sobre a confiabilidade do serviço e a necessidade de soluções permanentes para evitar novas interrupções.

As ameaças cibernéticas estão se tornando cada vez mais sofisticadas, com atacantes utilizando engenharia social, manipulação impulsionada por IA e exploração de nuvem para comprometer sistemas antes considerados seguros. O relatório destaca como o Microsoft Teams tem sido utilizado por grupos de ameaças para extorsão e roubo financeiro, enfatizando a importância de fortalecer a proteção de identidade e a segurança dos endpoints. Além disso, uma nova campanha de malware utiliza arquivos de atalho (.LNK) maliciosos para implantar um dropper de PowerShell, demonstrando a eficácia de técnicas de evasão. O artigo também menciona uma campanha de desinformação apoiada por Israel, visando desestabilizar o Irã, e a investigação da França sobre a coleta de dados de voz da Siri pela Apple. Outro ponto crítico é o roubo de criptomoedas, com hackers norte-coreanos responsáveis por cerca de $2 bilhões em furtos em 2025, destacando a crescente dependência do regime de atividades cibernéticas para financiamento. O artigo conclui com a resistência de empresas de tecnologia à proposta de controle de chat da UE, que exigiria a varredura de comunicações criptografadas, levantando preocupações sobre privacidade e vigilância em massa.

Uma nova campanha de cibersegurança identificada pela Blackpoint SOC revela que hackers estão explorando o Microsoft Teams para disseminar malware. Utilizando técnicas de envenenamento de SEO e anúncios patrocinados, os criminosos atraem usuários que buscam baixar o aplicativo oficial. Ao clicar em um link malicioso, os usuários são direcionados para um site que imita a página de download do Teams, onde um instalador falso é oferecido. Este instalador, chamado MSTeamsSetup.exe, contém uma backdoor conhecida como Oyster, que permite acesso remoto ao computador da vítima. O malware, que foi detectado pela primeira vez em 2023, é capaz de executar comandos, transferir arquivos e baixar outros vírus. A campanha é particularmente direcionada a usuários que buscam o download do Teams, e o arquivo malicioso é assinado com certificados para parecer legítimo. A recomendação para os usuários é baixar softwares apenas de domínios verificados e evitar clicar em anúncios nos buscadores. Essa situação destaca a necessidade de vigilância constante em relação a ameaças de malvertising e envenenamento de SEO, especialmente em ambientes corporativos.

No dia 25 de setembro de 2025, a equipe de Detecção e Resposta Gerenciada da Conscia identificou uma campanha de malvertising sofisticada que visava comprometer sistemas corporativos através de um instalador falso do Microsoft Teams. A cadeia de infecção foi descoberta quando as regras de Redução da Superfície de Ataque (ASR) do Microsoft Defender bloquearam tráfego suspeito, levando a uma investigação forense detalhada. A campanha utilizou resultados de busca envenenados para redirecionar usuários a um domínio malicioso, onde o malware estava hospedado. O instalador, MSTeamsSetup.exe, parecia legítimo devido a uma assinatura digital válida, permitindo que o malware evitasse detecções baseadas em assinatura. Após a execução, o malware tentou estabelecer uma conexão de comando e controle, mas foi interceptado pelas regras do Defender. Para se proteger contra essa ameaça, as organizações devem implementar estratégias de detecção focadas em anomalias de certificados e comportamentos de rede, além de monitorar conexões de saída para domínios recém-registrados. Este incidente destaca a convergência de técnicas modernas de ataque, como envenenamento de SEO e abuso de certificados, exigindo uma resposta proativa das equipes de segurança.

A Microsoft anunciou que está testando uma nova funcionalidade no Microsoft Teams que verifica links enviados em mensagens, alertando tanto quem envia quanto quem recebe. Essa atualização, chamada de ‘Proteção contra URLs Maliciosas para Chat e Canais do Teams’, visa detectar spam, phishing e malware. A tecnologia escaneia as URLs e as compara com bases de dados de inteligência contra ameaças da Microsoft, funcionando para mensagens internas e externas. Os usuários que compartilham links suspeitos receberão um alerta, podendo editar ou deletar a mensagem, enquanto os destinatários verão uma notificação clara sobre o conteúdo suspeito antes de clicar no link. A funcionalidade está disponível em versão de teste nos aplicativos para desktop, Android, iOS e na versão web, e será lançada oficialmente em novembro. Para ativar a checagem de URLs, os administradores devem acessar o Centro de Administração do Teams e selecionar a opção correspondente. Essa iniciativa é um passo importante na luta contra ameaças cibernéticas, especialmente em um ambiente corporativo onde a comunicação digital é essencial.

Pesquisadores em cibersegurança alertaram sobre um ataque cibernético que utiliza a ferramenta de monitoramento e forense digital de código aberto chamada Velociraptor. Os atacantes empregaram essa ferramenta para baixar e executar o Visual Studio Code, possivelmente com a intenção de criar um túnel para um servidor de comando e controle (C2) controlado por eles. O uso do Velociraptor representa uma evolução tática, onde programas de resposta a incidentes são utilizados para obter acesso e reduzir a necessidade de implantar malware próprio. A análise revelou que os atacantes usaram o utilitário msiexec do Windows para baixar um instalador MSI de um domínio da Cloudflare, que serve como base para outras ferramentas, incluindo um utilitário de administração remota. Além disso, a Sophos recomenda que as organizações monitorem o uso não autorizado do Velociraptor, pois isso pode ser um precursor de ataques de ransomware. O artigo também menciona campanhas maliciosas que exploram o Microsoft Teams para acesso inicial, refletindo um padrão crescente de uso de plataformas confiáveis para a implantação de malware. Os ataques se disfarçam como assistência técnica, dificultando a detecção. A situação é preocupante, pois os atacantes estão cada vez mais sofisticados em suas abordagens, utilizando técnicas que burlam as defesas tradicionais.

Um novo vetor de ataque cibernético tem se destacado, onde hackers estão se passando por pessoal de suporte técnico no Microsoft Teams para roubar o controle de tela dos usuários. Este tipo de phishing, que antes era restrito a e-mails, agora se aproveita das configurações padrão de comunicação externa do Teams, permitindo que os atacantes se façam passar por funcionários de TI. Com a crescente adoção do trabalho remoto, muitas organizações mantêm as mensagens e chamadas externas habilitadas por padrão, o que facilita a intrusão. Os atacantes podem iniciar chats ou chamadas de voz, muitas vezes contornando avisos de segurança que aparecem brevemente antes de desaparecerem. Além disso, eles têm utilizado técnicas para compartilhar arquivos maliciosos disfarçados como documentos legítimos, complicando a detecção. Para mitigar esses riscos, as equipes de operações de segurança (SOCs) devem monitorar domínios externos suspeitos e padrões de nomes que imitam o suporte técnico, além de implementar estratégias de detecção e resposta rápidas. A conscientização dos usuários sobre as táticas de impersonação é crucial para fortalecer a segurança nas comunicações corporativas.

Na manhã de quinta-feira, 28 de agosto de 2025, usuários do Microsoft Teams em todo o mundo enfrentaram uma interrupção significativa no serviço, com documentos do Microsoft Office incorporados não carregando na plataforma de colaboração. O problema começou a ser relatado às 06:00 UTC, afetando tanto usuários corporativos quanto individuais que não conseguiam abrir arquivos do Word, Excel e PowerPoint diretamente em canais e chats do Teams. A Microsoft reconheceu oficialmente o problema sob o ID de incidente TM1143347, que está sendo investigado. Os usuários afetados se deparam com um carregamento contínuo, mensagens de erro ou telas em branco ao tentar acessar os documentos. A análise preliminar sugere que uma má configuração na pipeline de processamento de documentos dentro do Azure Functions está causando falhas nas chamadas da API ‘GetEmbeddedFile’ para o SharePoint Online e OneDrive for Business. Enquanto a equipe de engenharia trabalha em uma solução permanente, recomenda-se que os administradores de TI utilizem alternativas temporárias, como abrir os arquivos no navegador ou no aplicativo de desktop, para mitigar a perda de produtividade até que a situação seja normalizada.