Convites falsos de calendário são usados em campanha de phishing contra contas da Microsoft

imagem gerada por IA

Flavio Sartori

Pesquisadores da Check Point identificaram uma campanha de phishing que usa convites falsos de reunião e links fraudulentos do Microsoft Teams para roubar credenciais de acesso. Foram detectados mais de 302 mil e-mails únicos direcionados a mais de 40 mil organizações em todo o mundo.

A tática aproveita a rotina corporativa: as mensagens chegam como convites de calendário ou solicitações de reunião, formatos considerados comuns e raramente questionados pelos usuários. Em vez de explorar falhas de software, os criminosos buscam induzir vítimas a informar logins e senhas em páginas falsas de autenticação da Microsoft.

A atividade ganhou força a partir de 25 de setembro. Nas duas primeiras semanas de outubro, a Check Point registrou mais de 740 mil e-mails maliciosos, contra pouco mais de 118 mil em setembro e apenas alguns milhares por mês em abril.

O pico ocorreu em 8 de outubro, com quase 200 mil mensagens enviadas em 24 horas. A campanha utilizou uma infraestrutura distribuída, com disparos vindos de mais de 33,8 mil domínios e mais de 247 mil endereços de e-mail distintos, dificultando o bloqueio por filtros tradicionais.

Há duas principais variações. Na primeira, os atacantes enviam arquivos .ics, formato padrão de convites de calendário. Como o arquivo contém dados legítimos de agenda, ele pode ser aberto normalmente e parece inofensivo.

Na segunda, a mensagem simula um convite do Microsoft Teams. O botão ou link para entrar na reunião, porém, direciona a uma página falsa de login da Microsoft, criada para capturar usuário e senha.

A empresa recomenda que organizações adotem soluções de segurança capazes de inspecionar anexos .ics e os links internos antes de chegarem à caixa de entrada. Também orienta o uso de ferramentas baseadas em IA para identificar anomalias no remetente, spoofing de marca e comportamentos suspeitos em mensagens automatizadas.

Para os usuários, as principais medidas são:

• Passar o mouse sobre links de reunião antes de clicar e conferir se o destino corresponde ao domínio oficial, como teams.microsoft.com.
• Desconfiar de convites inesperados, especialmente de remetentes desconhecidos ou que exijam login, download ou ação urgente.
• Confirmar a reunião com o suposto remetente por outro canal antes de interagir.
• Ativar a autenticação multifator (MFA) nas contas corporativas da Microsoft, reduzindo o impacto caso credenciais sejam roubadas.