Microsoft alerta sobre campanha de phishing após falha no Teams

Campanha de phishing aproveita instabilidade da Microsoft

A Microsoft acionou um alerta importante sobre uma campanha de phishing em grande escala que explora a instabilidade registrada no Microsoft 365 durante a quinta-feira (12). Os criminosos, aproveitando-se da falha que afetou os serviços, iniciaram um ataque coordenado para comprometer dados sensíveis de usuários através de mensagens de e-mail fraudulentas. A companhia de tecnologia detectou a atividade maliciosa e informou sobre os riscos envolvidos nesta operação de phishing.

Como funciona o golpe

Os atacantes enviam mensagens eletrônicas enganosas que se passam por comunicados oficiais da Microsoft. Estas correspondências falsas afirmam que mensagens eletrônicas foram retidas durante a interrupção dos serviços e serão eliminadas automaticamente em um período de até 24 horas, caso o destinatário não realize uma ação imediata.

Para "recuperar" os e-mails supostamente retidos, as vítimas são solicitadas a clicar em um link malicioso incluído na mensagem. Este mecanismo representa o núcleo da estratégia de phishing utilizada pelos criminosos, que buscam induzir usuários desavisados a fornecer suas credenciais de acesso.

Detalhes técnicos da campanha

A equipe de inteligência contra ameaças da Microsoft divulgou o alerta na sexta-feira (13) através da rede social X. De acordo com os investigadores, a campanha faz referência a um problema legítimo no Exchange Online, que é o serviço de e-mail corporativo mantido pela Microsoft, identificado pelo código EX1550543.

"Alguns dos e-mails de phishing que detectamos em 13 de novembro afirmam falsamente que mensagens foram retidas durante a interrupção e serão excluídas em até 24 horas, a menos que os destinatários cliquem para restaurá-las", informou oficialmente a equipe de segurança.

Características das mensagens fraudulentas

As mensagens maliciosas utilizam linhas de assunto padronizadas no formato "Outage - [código de seis caracteres]". Os remetentes das correspondências simulam notificações legítimas com identificadores como "Outage Notification" (Notificação de Interrupção) e "Service Health" (Integridade do Serviço), acompanhados de identificações específicas associadas a cada organização alvo.

Este nível de personalização torna as mensagens particularmente convincentes, aumentando significativamente as chances de que usuários cair na armadilha.

Infraestrutura utilizada pelos criminosos

Os investigadores de segurança identificaram três domínios distintos que foram utilizados no envio das mensagens fraudulentas: moments-notice[.]com, planetmaison[.]com e newbooker[.]com. Os e-mails contêm links que passam inicialmente pelo serviço SendGrid, plataforma utilizada para rastrear cliques nos links, antes de efetuar o redirecionamento dos usuários para o domínio reallifeaccounting[.]com.

Esta estrutura sofisticada permite que os criminosos monitorem a taxa de engajamento da campanha e coletem dados sobre quais usuários interagem com as mensagens.

Alcance e impacto da operação

Mensagens semelhantes foram identificadas em circulação dirigidas a organizações de diversos setores econômicos nos Estados Unidos. O ataque demonstra uma coordenação significativa e um conhecimento detalhado das operações internas do Microsoft 365, o que sugere o envolvimento de atores ameaçadores sofisticados.

Objetivo do ataque de phishing

A atividade detectada apresenta características típicas de campanhas de phishing, modalidade de golpe em que criminosos se impersonam como empresas ou instituições confiáveis para enganar vítimas e obter informações confidenciais, incluindo senhas e credenciais de acesso.

A Microsoft, entretanto, ressaltou que ainda não confirmou se houve coleta bem-sucedida de credenciais dos usuários ou distribuição de programas maliciosos (malware) através desta campanha específica. A investigação continua em andamento para avaliar o escopo total do ataque.

Recomendações para proteger sua organização

Investigação de mensagens suspeitas

Para identificar possíveis vítimas dentro de suas organizações, a Microsoft recomenda que equipes de segurança investiguem ativamente mensagens suspeitas e os links contidos nelas. Uma das ferramentas indicadas é o Microsoft Defender para Office 365, que permite examinar e-mails de forma abrangente e verificar se usuários clicaram em endereços potencialmente perigosos.

Configuração de proteção contra links maliciosos

A companhia também recomenda a verificação e otimização da configuração do Safe Links, recurso avançado que analisa links no momento exato em que são acessados pelos usuários e oferece proteção ativa contra endereços maliciosos.

Verificação de interações e confirmação de status

A orientação final é que empresas investiguem possíveis interações dos funcionários com as mensagens fraudulentas e confirmem eventuais interrupções do Microsoft 365 diretamente no centro de administração oficial do serviço, em vez de confiar em links recebidos por correio eletrônico. Esta prática reduz significativamente o risco de cair em golpes sofisticados como o identificado nesta campanha.