Microsoft alerta sobre golpes de phishing após falha no Teams
Microsoft identifica campanha de phishing após instabilidade no serviço
A Microsoft emitiu um aviso importante sobre uma campanha coordenada de phishing Microsoft que aproveita a instabilidade registrada na plataforma Microsoft 365 na quinta-feira (12) para enganar usuários e capturar informações sensíveis. A operação fraudulenta representa uma ameaça significativa para organizações em diversos setores, especialmente aquelas com infraestrutura baseada em nuvem.
Como funciona o esquema de fraude
Os fraudadores enviam mensagens eletrônicas sofisticadas que simulam comunicados oficiais da Microsoft. Essas mensagens afirmam que e-mails ficaram retidos durante a interrupção do serviço e serão permanentemente deletados em até 24 horas, a menos que o destinatário clique em um link específico para recuperá-los. O alerta foi divulgado pela equipe de inteligência contra ameaças da Microsoft (Microsoft Threat Intelligence) na sexta-feira (13), através da rede social X.
De acordo com informações da empresa, a campanha faz referência a um problema real no Exchange Online, o serviço de e-mail corporativo da Microsoft, identificado pelo código EX1550543. "Alguns dos e-mails de phishing que detectamos em 13 de novembro afirmam falsamente que mensagens foram retidas durante a interrupção e serão excluídas em até 24 horas, a menos que os destinatários cliquem para restaurá-las", informou a equipe de segurança.
Características técnicas da campanha maliciosa
O golpe utiliza mensagens com linhas de assunto padronizadas no formato "Outage - [código de seis caracteres]". Os remetentes também simulam notificações oficiais, utilizando nomes como "Outage Notification" (Notificação de Interrupção) e "Service Health" (Integridade do Serviço), acompanhados de identificações específicas de cada organização-alvo.
Domínios e infraestrutura comprometida
A Microsoft identificou três domínios utilizados no envio das mensagens fraudulentas: moments-notice[.]com, planetmaison[.]com e newbooker[.]com. Os e-mails contêm links que passam pelo serviço SendGrid, utilizado para rastrear cliques dos usuários, antes de redirecionar as vítimas para o domínio reallifeaccounting[.]com. Essa estrutura técnica demonstra um nível sofisticado de planejamento por parte dos criminosos.
Mensagens semelhantes foram identificadas sendo enviadas a organizações de diferentes setores nos Estados Unidos, sugerindo uma operação coordenada em larga escala. A seleção de múltiplos domínios de envio indica tentativa dos fraudadores de contornar filtros de segurança tradicionais.
Objetivo final: roubo de credenciais
A atividade apresenta todas as características clássicas de phishing, tipo de golpe em que criminosos se passam por empresas ou instituições confiáveis para enganar vítimas e obter informações sensíveis, como senhas e dados de acesso. A exploração de uma falha real do serviço torna o ataque ainda mais convincente, aumentando significativamente as chances de sucesso.
A Microsoft, porém, ressalta que ainda não confirmou se houve coleta bem-sucedida de credenciais dos usuários ou distribuição de programas maliciosos (malware) por meio da campanha. Ainda assim, o potencial para comprometimento de dados é considerado alto pelos especialistas em segurança.
Recomendações de segurança da Microsoft
Ferramentas para identificar vítimas potenciais
A Microsoft recomenda que equipes de segurança investiguem mensagens suspeitas e os links incluídos nelas com urgência. Uma das ferramentas indicadas é o Microsoft Defender para Office 365, que permite examinar e-mails em detalhe e verificar se usuários clicaram em endereços potencialmente perigosos.
Configuração de proteção avançada
A companhia também recomenda verificar e otimizar a configuração do Safe Links, recurso que analisa links no exato momento em que são acessados e oferece proteção robusta contra endereços maliciosos. Essa funcionalidade atua como barreira adicional contra esquemas de phishing.
Procedimentos investigativos
As orientações finais da Microsoft indicam que empresas devem investigar possíveis interações dos funcionários com as mensagens fraudulentas e confirmar eventuais interrupções do Microsoft 365 diretamente no centro de administração oficial do serviço, em vez de confiar nos links recebidos por e-mail. Essa prática evita que funcionários bem-intencionados caiam no golpe ao tentar verificar o status do serviço.
Contexto da falha no Microsoft 365
A campanha de phishing surgiu em resposta a uma falha real na plataforma Microsoft 365, que afetou serviços como Teams e Outlook na quinta-feira (12). Criminosos aproveitaram esse período de instabilidade para amplificar a credibilidade de seus e-mails fraudulentos, criando senso de urgência nas vítimas. Essa tática demonstra como incidentes de segurança legítimos podem ser explorados para potencializar ataques secundários.
As organizações afetadas devem permanecer vigilantes e implementar imediatamente as medidas recomendadas pela equipe de inteligência contra ameaças da Microsoft para proteger seus usuários e dados corporativos contra essa campanha sofisticada de phishing.