Imagine abrir o notebook numa segunda-feira e encontrar no Microsoft Teams uma mensagem do CEO pedindo uma transferência bancária “para ontem”. Tudo parece legítimo: a foto, o nome e até a assinatura automática do executivo. Você faz o que foi solicitado e, horas depois, descobre que caiu em um golpe. Esse cenário — que mais parece roteiro de série — era totalmente possível até poucas semanas atrás, graças a um conjunto de vulnerabilidades críticas recém-descobertas no Teams.
O que, de fato, aconteceu?
A Check Point Research identificou falhas que permitiam a qualquer invasor editar mensagens sem deixar rastros, falsificar notificações, mudar o nome de chats privados e até esconder a identidade real em chamadas de áudio ou vídeo. Na prática, os criminosos ganhavam superpoderes para se passar por qualquer colaborador — do estagiário ao presidente da companhia.
Segundo a pesquisa, o problema estava na forma como o Teams manipula pacotes JSON, responsáveis por carregar dados como texto, identificador da mensagem e, principalmente, o display name (nome exibido). Bastava alterar campos específicos, sem qualquer validação do servidor, para enganar colegas de trabalho que, muitas vezes, já confiam cegamente na ferramenta corporativa. A Microsoft foi notificada, liberou correções no back-end e não exige nenhuma ação do usuário final.
Por que isso é tão grave?
O Teams ultrapassou 320 milhões de usuários ativos mensais, tornando-se alvo apetitoso para hackers especializados em BEC (Business Email Compromise). Ao migrarem do e-mail para a plataforma de mensagens, os fraudadores driblam filtros de spam e antivírus robustos, aumentando a taxa de sucesso de pedidos falsos de pagamento, vazamento de planilhas estratégicas ou até espionagem industrial.
Para companhias que adotam trabalho híbrido, a exposição é ainda maior: dispositivos pessoais conectados à VPN, webcams de terceiros e headsets USB sem firmware atualizado podem ser porta de entrada para criminosos persistentes (APTs). Afinal, basta um convidado externo em um canal de projeto para mapear hierarquias e dar o golpe perfeito.
Comparativo: Teams versus rivais
• Slack: oferece histórico de auditoria mais detalhado em planos Enterprise, mas exige configuração manual para impedir edição silenciosa de mensagens.
• Google Chat: integra-se ao Gmail, herdando camadas de verificação de identidade já maduras, porém carece de alguns recursos avançados de DLP.
• Teams (pós-correção): conta com verificação dupla de identidade em chamadas e log de alterações, entretanto ainda depende de políticas de Zero Trust para bloquear acessos laterais.
Em resumo, nenhum serviço de colaboração está imune; a diferença está na rapidez dos patches e na maturidade das políticas internas de cada empresa.
Como se blindar contra novos golpes
1. Adote Zero Trust de verdade
Não basta habilitar MFA no login. Verifique dispositivo, geolocalização e saúde do sistema a cada requisição sensível.
Imagem: Internet
2. Camada extra de prevenção de ameaças
Ferramentas como Microsoft Defender for Office 365 ou soluções de terceiros inspecionam links e anexos dentro do chat em tempo real.
3. Políticas de DLP bem afinadas
Bloqueie envio de planilhas financeiras, código-fonte e documentos de RH para fora do domínio corporativo, mesmo que o nome exibido pareça confiável.
4. Confirmação fora de banda
Transferências de valores ou mudanças de contrato só devem ser validadas após ligação direta ou reunião presencial. Pode parecer burocrático, mas é mais barato que um desfalque milionário.
Dica para profissionais de TI
A atualização foi aplicada do lado do servidor, mas vale revisar logs em busca de edições de mensagens sem tag “Editado” entre janeiro e outubro de 2025. Se encontrar algo suspeito, faça correlação com transações financeiras no mesmo período.
O que isso muda para você?
Para o usuário comum, a lição é simples: confiança cega virou vulnerabilidade. Mesmo em aplicativos oficiais, vale analisar tom de voz, urgência e coerência de pedidos. Se algo parecer fora de padrão, levante a sobrancelha, verifique a informação e salve o caixa da empresa — e o seu emprego.
Já para quem monta ou gerencia setups de home office, lembre-se de que segurança não é só software: mantenha firmware de roteadores, webcams e microfones sempre atualizados. Uma brecha num driver pode ser o primeiro passo para que o “falso CEO” apareça na sua tela.
No fim das contas, a descoberta da Check Point reforça que, em 2025, cibersegurança deixou de ser uma área de TI e virou responsabilidade compartilhada. Quem domina essa mentalidade protege não só dados, mas a continuidade do negócio.
Com informações de TecMundo
