A Check Point detectou, entre 25 de Junho e a segunda semana de Julho, uma campanha phishing que se fez passar por notificações de «tarefas de recursos humanos enviadas através do Microsoft Teams». Os investigadores desta empresa de segurança identificaram «mais de duzentos e-mails dirigidos a utilizadores de cerca de 120 organizações».
As mensagens «imitavam notificações» do Microsoft Planner e incluíam «referências a salários, compensações, benefícios e tarefas em atraso». O remetente visível correspondia ao «domínio da própria organização», o que dava ao e-mail a «aparência de uma comunicação interna», descreve a Check Point.
Ao seguir a hiperligação, a vítima era encaminhada «para a verdadeira página de autenticação da Microsoft». Depois de iniciar sessão, recebia, contudo, um «pedido para conceder permissões a uma aplicação controlada pelos atacantes», que usava o «protocolo OAuth para obter um código de autorização sem precisar de roubar directamente a palavra-passe».
Consoante as permissões aprovadas, a aplicação podia aceder ao e-mail, enviar mensagens a partir da conta, consultar documentos no SharePoint e OneDrive, ler conversas do Teams e recolher informação do calendário. O acesso a uma conta interna também podia servir para «preparar novos ataques de Business Email Compromise».
A América do Norte concentrou 98,3% das organizações identificadas, com a indústria, os serviços jurídicos e profissionais e as entidades sem fins lucrativos entre os sectores mais visados; a Check Point não deu dados sobre Portugal.
Esta campanha «já não está activa», mas mostra como os atacantes passaram a explorar a «infraestrutura legítima da Microsoft, o que elimina vários dos sinais habitualmente associados ao phishing», avisa a empresa.
