Microsoft alerta sobre campanha de phishing após falha no Teams

Microsoft adverte sobre tentativa de fraude eletrônica

A Microsoft divulgou um alerta importante sobre uma campanha de phishing Microsoft 365 que explora a instabilidade ocorrida na quinta-feira, 12 de novembro, nos serviços de e-mail corporativo e colaboração da empresa. Os criminosos por trás dessa operação estão enviando mensagens fraudulentas que se fazem passar por comunicados autênticos da companhia, com o objetivo de capturar informações confidenciais dos usuários.

A estratégia utilizada pelos golpistas é particularmente sofisticada, aproveitando-se do conhecimento público sobre os problemas técnicos enfrentados pela Microsoft naquele dia. As mensagens falsas afirmam que e-mails foram retidos durante a interrupção do serviço e serão permanentemente apagados em um prazo de 24 horas, criando uma sensação de urgência que leva as vítimas a clicar em links maliciosos para supostamente recuperar suas mensagens.

Detalhes da campanha fraudulenta identificada

A equipe de inteligência contra ameaças da Microsoft (Microsoft Threat Intelligence) revelou os detalhes dessa campanha de phishing na sexta-feira, 13 de novembro, através de publicações na rede social X. Segundo os especialistas da empresa, a operação faz referência específica a um problema real identificado no Exchange Online, que é o serviço de e-mail corporativo da Microsoft, catalogado sob o código EX1550543.

Os pesquisadores da Microsoft detectaram que alguns dos e-mails de phishing enviados em 13 de novembro utilizam uma abordagem enganosa, informando falsamente que mensagens foram retidas durante a interrupção do serviço e serão deletadas em até 24 horas, a menos que os destinatários cliquem em um link para restaurá-las. Essa técnica exploratória aproveitava a credibilidade dos problemas reais enfrentados pela plataforma para aumentar a taxa de sucesso do golpe.

Características técnicas do ataque

O golpe utiliza mensagens com linhas de assunto formatadas como "Outage - [código de seis caracteres]", simulando perfeitamente os padrões de comunicação oficial da Microsoft. Os remetentes também fingem ser notificações legítimas, usando nomes como "Outage Notification" (Notificação de Interrupção) e "Service Health" (Integridade do Serviço), frequentemente acompanhados de identificadores específicos de cada organização afetada.

As investigações técnicas revelaram que a campanha utiliza três domínios distintos para enviar as mensagens fraudulentas: moments-notice[.]com, planetmaison[.]com e newbooker[.]com. Esses e-mails contêm links que passam pelo serviço SendGrid antes de serem redirecionados para o domínio reallifeaccounting[.]com, que funciona como página de captura de credenciais. O SendGrid é utilizado pelos criminosos para rastrear quais usuários clicam nos links maliciosos.

Alcance e distribuição do ataque

As mensagens suspeitas foram direcionadas a organizações de diversos setores econômicos localizadas nos Estados Unidos. A amplitude geográfica e setorial da campanha sugere uma operação coordenada e sofisticada, indicando que os criminosos possuem listas substanciais de endereços de e-mail corporativos e conhecimento sobre a estrutura organizacional das empresas alvo.

Objetivo e risco de comprometimento de dados

A atividade identificada apresenta todas as características clássicas de phishing, um tipo de golpe em que criminosos se passam por empresas ou instituições confiáveis para enganar vítimas e obter informações sensíveis, como senhas, dados de acesso e credenciais administrativas. Essas informações são posteriormente utilizadas para acessar sistemas corporativos e roubar dados valiosos.

Apesar do alerta divulgado, a Microsoft ressalva que ainda não confirmou se houve sucesso na coleta de credenciais dos usuários ou se programas maliciosos (malware) foram distribuídos através dessa campanha específica. No entanto, a simples possibilidade de comprometimento de dados corporativos representa um risco significativo para as organizações afetadas.

Recomendações de segurança para empresas

Para identificar possíveis vítimas dessa campanha de phishing Microsoft 365, a empresa recomenda que as equipes de segurança corporativa investiguem cuidadosamente mensagens suspeitas e os links incluídos nelas. Uma das ferramentas mais eficazes para essa investigação é o Microsoft Defender para Office 365, que permite examinar e-mails suspeitos e verificar se usuários clicaram em endereços potencialmente perigosos.

A companhia também recomenda que as organizações verifiquem a configuração do Safe Links, um recurso que analisa links no momento exato em que são acessados e oferece proteção contra endereços maliciosos. Essa funcionalidade pode bloquear redirecionamentos para domínios conhecidamente perigosos antes que o usuário chegue realmente na página fraudulenta.

Além disso, a orientação é que as empresas investiguem possíveis interações dos funcionários com as mensagens suspeitas e confirmem qualquer informação sobre interrupções do Microsoft 365 diretamente no centro de administração oficial do serviço, em vez de confiar em links recebidos por e-mail. Essa prática garante que a comunicação sobre problemas técnicos provenha de fontes autênticas e verificadas, reduzindo significativamente o risco de cair em golpes sofisticados como esse.