VKSECURITY "Oi, aqui é o suporte de TI": o golpe que usa o Teams para tomar o computador do funcionário
Uma mensagem no Teams de um 'help desk', uma ligação em seguida, e o pedido para abrir uma ferramenta de suporte remoto. Em menos de 17 horas, uma dessas conversas terminou em ransomware. Entenda o golpe que transforma a confiança no TI em chave da rede — e por que quase toda empresa está exposta por padrão.
Todo funcionário aprende cedo a confiar em uma voz: a do suporte de TI. É quem resolve o computador travado, quem instala o programa que faltava, quem manda “deixa que eu acesso aqui”. Uma campanha de golpes descoberta este ano transformou exatamente essa confiança na porta de entrada mais eficiente para invadir empresas — e ela entra por uma ferramenta que quase todo mundo tem aberta: o Microsoft Teams.
Como o golpe funciona
Pesquisadores da Unit 42 (Palo Alto Networks) e da Sophos documentaram, ao longo de 2026, campanhas que seguem o mesmo roteiro. O passo a passo é assustadoramente simples:
- O contato. O criminoso cria uma conta externa no Teams com um nome que parece oficial — “Help Desk”, “ITProtectionDepartment”, “Suporte de Rede”. Como o Teams, por padrão, permite que qualquer pessoa de fora inicie conversa, a mensagem chega direto ao funcionário.
- A ligação. O chat vira uma chamada de voz em segundos. É o vishing — phishing por voz. A pessoa do outro lado fala com jeito de técnico: “estamos fazendo uma manutenção”, “sua máquina está com um problema de segurança, preciso corrigir agora”.
- O acesso. O “técnico” pede para a vítima abrir o Quick Assist — ferramenta de acesso remoto que já vem no Windows e não precisa instalar nada — ou baixar um programa de suporte como AnyDesk. Ao autorizar, o funcionário entrega o controle da própria tela.
- O estrago. Com o computador nas mãos, o atacante instala programas espiões, busca senhas de administrador e tenta chegar ao coração da rede. Num dos casos investigados pela Sophos, o grupo saiu do primeiro contato até criptografar os arquivos com o ransomware Chaos em menos de 17 horas.
Por que isso é tão eficaz
O golpe não explora nenhuma falha técnica. Ele explora três coisas que já estão prontas em quase toda empresa:
- O funcionário confia no TI. Ninguém desconfia de quem diz que veio ajudar com o computador.
- O Teams aceita contato de fora por padrão. A menos que a empresa tenha desligado, qualquer conta externa consegue chamar seus colaboradores.
- O Quick Assist não precisa de instalação. A ferramenta de acesso remoto já está no Windows, pronta para ser usada — inclusive contra o dono da máquina.
Os números mostram o tamanho da onda: a Unit 42 viu os alertas de golpe ligados a plataformas de colaboração saltarem de 30% para 42% do total nos primeiros quatro meses de 2026. A campanha que ela batizou de “Spring Ring” atingiu mais de 150 funcionários em pelo menos 10 empresas; a da Sophos concentrou 95% dos ataques em Canadá e Estados Unidos, mas o método não tem fronteira.
Como blindar a sua empresa
A defesa aqui é metade configuração, metade combinado com a equipe:
- Limite o contato externo no Teams. No painel de administração, restrinja quem de fora pode iniciar chat e chamada. É o cadeado que fecha a porta por onde o golpe entra.
- Controle o acesso remoto. Bloqueie ou restrinja o Quick Assist e ferramentas de RMM que não façam parte do padrão da empresa. Se o suporte usa uma ferramenta específica, só ela deveria rodar.
- Combine uma regra simples com o time: o TI de verdade nunca liga do nada pedindo para você abrir acesso remoto. Na dúvida, desliga e liga de volta pelo canal oficial. Esse único hábito derruba o golpe inteiro.
- Um caminho fácil para avisar. O funcionário precisa saber para quem falar “recebi uma ligação estranha” sem medo de parecer bobo. Quanto mais cedo o aviso, menor o estrago.
O ataque mais perigoso do momento não usa um vírus sofisticado nem uma falha secreta. Usa um telefonema e a boa educação de quem só queria colaborar. É por isso que a melhor defesa não está num software — está no combinado de que ajuda de verdade não chega por uma chamada não solicitada.
Fontes
- Unit 42 (Palo Alto Networks) — Spring Ring: An Inside Look at Voice Phishing Campaigns in Microsoft Teams (31/08/2026): unit42.paloaltonetworks.com
- Sophos — Chaos in Teams vishing (campanha STAC4749): sophos.com
- Foto de capa: placa da Microsoft na entrada do campus em Redmond — domínio público, via Wikimedia Commons
- Segunda imagem: logotipo do Microsoft Teams — Microsoft, domínio público, via Wikimedia Commons
