O e-mail é o canal clássico de phishing, e a maioria das empresas já treinou seus colaboradores para desconfiar de mensagens suspeitas na caixa de entrada. No entanto, poucos aplicam a mesma cautela ao Microsoft Teams. Nos primeiros meses de 2026, alertas de phishing originados em ferramentas de colaboração representaram 42% de todos os alertas registrados, um salto em relação aos 30% do período anterior. O phishing no Microsoft Teams explora a confiança que o colaborador deposita na plataforma. Quem recebe uma mensagem ali tende a assumir que o contato é legítimo, porque associa o Teams ao ambiente interno da empresa.
O que é phishing no Microsoft Teams e por que ele engana mais
Phishing no Microsoft Teams é uma técnica de engenharia social em que o atacante usa mensagens, chamadas ou convites dentro da plataforma para induzir o colaborador a fornecer credenciais, instalar ferramentas de acesso remoto ou executar ações que comprometem a segurança da empresa.
O motivo pelo qual esse vetor funciona melhor que o e-mail é simples: o Teams é percebido como um canal seguro. Colaboradores tratam mensagens ali com a mesma naturalidade de uma conversa com um colega de mesa. Essa familiaridade reduz o nível de desconfiança, e os atacantes sabem disso. Para entender como o phishing funciona de forma geral e quais são suas consequências, vale consultar nosso artigo dedicado ao tema. Aqui o foco é o vetor específico do Teams.
Como os ataques de phishing no Teams acontecem na prática
Os ataques de phishing no Teams seguem dois padrões principais, e os dois vêm crescendo em 2025 e 2026.
O primeiro é a impersonação de executivos. O criminoso pesquisa nomes de diretores e sócios da empresa em fontes públicas como LinkedIn e sites corporativos. Com esses dados, cria uma conta externa no Teams usando o nome da pessoa e inicia uma conversa com alguém do financeiro ou da operação. O destinatário vê o nome do diretor na tela e, sem verificar se o contato é externo, responde normalmente. É nesse momento que o golpista solicita uma transferência bancária urgente, o envio de dados sensíveis ou credenciais de acesso. O prejuízo pode ser financeiro, jurídico e de reputação, tudo a partir de uma conversa que parecia interna.
O segundo padrão é a impersonação de suporte técnico. Nesse caso, o atacante registra um tenant com nome semelhante ao da empresa (por exemplo, “empresa-it-support.onmicrosoft.com”) e entra em contato pelo Teams se passando pela equipe de TI. Em alguns casos, o primeiro passo é inundar a caixa de e-mail da vítima com centenas de mensagens, criando uma sensação de que algo está errado. Em seguida, o suposto técnico oferece ajuda e pede que o colaborador abra uma ferramenta de acesso remoto, como o Quick Assist. Com o acesso concedido, o atacante instala malware, faz reconhecimento do ambiente e, em cadeia, pode chegar a controladores de domínio e dados sensíveis. A Microsoft documentou esse fluxo em detalhe recentemente, descrevendo desde a engenharia social inicial até a exfiltração de dados.
Em ambos os casos, o ataque funciona porque acontece dentro de uma ferramenta que o colaborador associa ao ambiente seguro da empresa.
Quais sinais indicam uma tentativa de phishing no Teams
Alguns padrões se repetem na maioria das tentativas. O contato chega de forma não solicitada, seja alegando ser do suporte técnico, seja se apresentando como um executivo com uma demanda urgente.
Na conversa, o rótulo de “externo” ou “não familiar” aparece ao lado do nome do remetente, mas muitos colaboradores ignoram esse aviso. A mensagem cria urgência artificial. Uma transferência que precisa sair agora, um problema técnico que vai piorar se não for resolvido imediatamente.
No caso do golpe de suporte, há o pedido para instalar ou abrir uma ferramenta de acesso remoto. No caso da impersonação de executivo, há a solicitação de dados sensíveis ou de uma ação financeira que foge do processo habitual.
Em ambos, o contato nunca segue os canais oficiais que a empresa usa no dia a dia.
Como configurar o Microsoft Teams para reduzir o risco de phishing
Boa parte da proteção começa na configuração do ambiente, antes mesmo do treinamento da equipe. No admin center do Teams, restringir o acesso externo para que apenas domínios autorizados possam iniciar conversas é a medida de maior impacto imediato. Além disso, políticas de acesso condicional via Entra ID limitam quem pode acessar o Teams e sob quais condições.
Bloquear autenticação legada e exigir MFA resistente a phishing (como chaves FIDO2 ou certificados) reduzem ainda mais a superfície de ataque. Essas configurações não são complexas, mas exigem que alguém as implemente e mantenha atualizadas. A Microsoft documenta essas ameaças e recomenda revisão contínua das políticas de acesso e governança do Teams.
Outro ponto frequentemente ignorado: o acesso externo no Teams vem habilitado por padrão em muitas organizações. Isso significa que qualquer pessoa com uma conta Microsoft pode iniciar uma conversa com os colaboradores da empresa sem aprovação prévia. Desabilitar contas não gerenciadas (como @outlook.com e @hotmail.com) e manter uma lista de domínios permitidos apenas com parceiros conhecidos são medidas que reduzem a superfície de ataque de forma significativa.
O que fazer se um colaborador for alvo desse golpe
A primeira regra vale para os dois tipos de golpe: não executar nenhuma ação solicitada por contato não verificado, seja conceder acesso remoto, seja autorizar uma transferência.
Se a solicitação vier pelo Teams, o colaborador deve encerrar a conversa e confirmar a identidade do solicitante por telefone ou por um canal oficial da empresa antes de qualquer ação.
Agora, caso o acesso remoto já tiver sido concedido, a máquina deve ser isolada da rede imediatamente. Se dados financeiros ou credenciais já tiverem sido compartilhados, o time de TI precisa ser acionado para trocar senhas, revogar sessões ativas no Entra ID e avaliar o impacto.
Como a Lattine ajuda sua empresa a se proteger contra phishing no Teams
A configuração correta do ambiente é a primeira linha de defesa, mas exige acompanhamento constante. Novas técnicas de ataque surgem a cada mês, e políticas que funcionavam ontem podem não cobrir o cenário de amanhã. Por isso, a Lattine avalia o ambiente, configura as políticas de acesso externo e de segurança no Microsoft 365, implementa MFA adequado e acompanha a postura de segurança de forma contínua por meio do Lattine SEC.
Fale com a Lattine e entenda como manter o ambiente da sua empresa protegido. Acesse https://lattinegroup.com/servico/lattine-sec/