Uma mensagem no Microsoft Teams de alguém chamado "Help Desk", com a etiqueta "(Internal)", dizendo que vai resolver o problema do seu e-mail. Em menos de 15 minutos, o golpista pode estar com o controle do computador. A Arctic Wolf Labs publicou em 26 de outubro de 2026 a análise de mais de 400 incidentes desse tipo, em que criminosos usam o chat externo do Teams para se passar pelo suporte de TI da própria empresa.
Se a sua empresa usa Microsoft 365 e deixa o Teams aberto para conversar com gente de fora, o roteiro vale para você.
Como o golpe funciona
Segundo a Arctic Wolf, a abordagem costuma seguir uma ordem:
- A caixa de entrada lota. A vítima recebe de repente uma enxurrada de e-mails, o que já cria a sensação de problema técnico.
- O "suporte" aparece no Teams. O golpista escreve de uma conta externa com nome como "Help Desk" ou "IT Support" e coloca "(Internal)" no nome para driblar o aviso de usuário externo. Entre 30% e 40% dos casos usaram domínios
.onmicrosoft.com, que parecem oficiais. - Pede acesso remoto. A vítima é convencida a abrir uma ferramenta de suporte legítima: Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport ou LogMeIn.
- Instala o que quer. Com o acesso, o criminoso instala programas de controle remoto e começa a mapear a rede da empresa.
A velocidade chama atenção. A Arctic Wolf registrou casos em que o intervalo entre o primeiro contato e a execução do programa malicioso foi de menos de 15 minutos, e várias pessoas da mesma empresa foram abordadas em cerca de 5 minutos.
Quem está por trás
Segundo o site de segurança THN, a atividade bate com a do grupo que a Sophos chama de STAC4749, ligado ao ransomware Chaos. Ransomware é o programa que trava os arquivos da empresa e cobra resgate para devolver. Entre as ferramentas encontradas estão um backdoor chamado GoGRPC, um implante em Python e o Level RMM, um programa de gestão remota.
E o Brasil?
A Arctic Wolf viu uso repetido de domínios .com.br e .com.vn nos meses de julho e agosto, e cita um endereço .com.br entre os domínios maliciosos. Isso mostra infraestrutura usada pelos criminosos, e não vítimas brasileiras: o relatório não informa países nem setores das empresas atacadas. Não encontramos aviso próprio da Microsoft sobre esta campanha até a manhã de 27/10.
O que fazer agora
As orientações abaixo vêm da Arctic Wolf. As três primeiras são do administrador do Microsoft 365 da empresa:
- Restrinja o acesso externo do Teams. No Centro de Administração do Teams, troque a permissão geral por "permitir apenas domínios externos específicos" (clientes e fornecedores que você conhece).
- Bloqueie contas não gerenciadas e contas pessoais do Teams, que é por onde boa parte desses contatos chega.
- Bloqueie conversas com contas de avaliação (trial). A Arctic Wolf indica o comando
Set-CsTenantFederationConfiguration -ExternalAccessWithTrialTenants "Blocked"no PowerShell do Teams. - Restrinja o Quick Assist e as ferramentas de acesso remoto aos computadores e pessoas que de fato precisam delas.
- Combine uma regra com a equipe: todo pedido de acesso remoto é confirmado por outro canal (telefone ou conversa com quem você já conhece) antes de qualquer clique.
- Explique o golpe para todo mundo. O suporte de verdade raramente aparece do nada no Teams depois de uma enxurrada de e-mails.
Na empresa pequena, a regra 5 é a mais barata e a que mais protege. Se o "suporte" insistir na pressa, desconfie.
Se alguém já deu o acesso
Desconecte o computador da rede, sem desligar, e chame quem cuida da TI. Troque as senhas da pessoa a partir de outro aparelho, revise quais programas de acesso remoto foram instalados e confira se há contas novas no Microsoft 365. Quanto antes isso acontecer, menor a chance de o ataque chegar aos outros computadores.
Onde a Oneck entra
Ferramenta de trabalho mal configurada vira porta de entrada. A frente de Software & Sistemas da Oneck Creative ajuda empresas a revisar acessos, configurações e rotinas de segurança das ferramentas do dia a dia. Se você não sabe quem pode falar com a sua equipe pelo Teams, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Para quem também quer organizar as senhas da equipe, a OneckPass, outra empresa, independente da Oneck Creative, oferece gerenciador de senhas.
Fontes: Arctic Wolf Labs: criminosos abusam do chat externo do Microsoft Teams para acesso inicial (26/10/2026); THN: atacantes usam o Teams fingindo ser o suporte de TI (26/10/2026).