Segundo informações atribuídas à Microsoft, criminosos se passaram por profissionais de suporte técnico para entrar em contato com funcionários e obter acesso a credenciais de segurança.
As chamadas fraudulentas alcançaram 19 usuários, e os invasores conseguiram roubar certificados associados a 11 contas privilegiadas, que possuem permissões elevadas em ambientes corporativos.
O ataque demonstra como criminosos podem explorar a confiança dos funcionários em ferramentas de comunicação utilizadas diariamente pelas empresas.
Diferentemente de invasões que dependem exclusivamente de falhas em softwares, a engenharia social busca convencer a própria vítima a realizar ações que comprometam a segurança.
Após obter acesso remoto aos computadores por meio do Quick Assist, ferramenta legítima de suporte do Windows, os criminosos exploraram configurações inseguras do Active Directory Certificate Services (AD CS).
Em uma das invasões investigadas, os atacantes conseguiram acessar um servidor de arquivos e transferir dados corporativos para um servidor externo. A Microsoft não informou o volume de informações comprometidas.
A empresa também identificou uma segunda invasão, na qual os criminosos obtiveram um certificado de autenticação de um controlador de domínio. Nesse caso, as medidas de contenção impediram o avanço do ataque.
Não foi identificada uma vulnerabilidade no próprio Microsoft Teams. Os criminosos exploraram a confiança dos usuários e configurações inadequadas de segurança.
A Microsoft recomenda verificar solicitações inesperadas de suporte, restringir comunicações externas no Teams e revisar as permissões dos certificados digitais corporativos.
