← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Falso suporte de TI no Teams: o golpe que abre a porta ao ransomware

Cisco Talos relata falsos técnicos de TI que ligam ou chamam no Teams e pedem acesso remoto. No 3º tri de 2026, ransomware foi 27% dos casos. Como se proteger.

2026-11-01

“Oi, aqui é do suporte de TI. Detectamos um problema na sua conta; vou abrir uma sessão remota para corrigir.” Esse roteiro, simples e cada vez mais comum, foi um dos destaques do relatório de tendências de resposta a incidentes do Cisco Talos para o terceiro trimestre de 2026, publicado em 30 de outubro. Segundo o Talos, criminosos se passaram por equipes de help desk por telefone, e-mail e Microsoft Teams para convencer funcionários a abrir sessões de acesso remoto — e, em pelo menos um caso, isso terminou em ransomware.

Como funciona o golpe do falso suporte de TI?

De acordo com a Help Net Security, que detalhou o relatório, os atacantes pareciam saber apenas nomes e e-mails dos funcionários e usavam identidades que imitavam técnicos reais. O Talos não encontrou sinal de investigação profunda sobre cada empresa: os alvos variavam dentro e entre organizações, o que sugere que bastava achar qualquer pessoa disposta a colaborar. Em um caso, a vítima ligou para um falso número de suporte exibido num pop-up genérico de navegador.

No caso que resultou no ransomware VYPR, o passo a passo foi este:

Ligação (vishing): o criminoso se apresenta como suporte de TI.
Quick Assist: a vítima é induzida a iniciar uma sessão do Microsoft Quick Assist, ferramenta legítima de assistência remota do Windows.
Uso de ferramentas da própria empresa: um software de gerenciamento remoto (RMM) já instalado executou comandos PowerShell que baixaram e instalaram um pacote MSI de um IP externo.
Ferramentas adicionais: MeshAgent, Rclone, PsExec, varredura de rede e área de trabalho remota.
Exfiltração e criptografia: dados foram retirados ao longo de vários dias — algo pouco comum, segundo o Talos — antes do ransomware.

Quem está por trás do ransomware VYPR?

O Talos descreve o VYPR como um grupo novo e operacionalmente imaturo, construído sobre código antigo vazado derivado do Conti, com poucas alterações. Para desligar antivírus e EDR, os operadores usaram a técnica BYOVD (“traga seu próprio driver vulnerável”), carregando drivers legítimos mas com falhas para obter acesso ao núcleo do sistema — e instalaram um número incomum deles, possivelmente como redundância. O grupo não tinha site de vazamento durante o atendimento. No mesmo trimestre, o Talos viu atividade de grupos estabelecidos como The Gentlemen, Qilin, Rhysida e Interlock.

O que mostram os números do 3º trimestre de 2026?

Indicador (Talos IR, 3º tri/2026)	Dado
Ransomware e pré-ransomware	27% dos atendimentos (máximo anterior em quatro trimestres: 20%)
Phishing como acesso inicial	37% (mais de 50% no trimestre anterior)
Exploração de aplicações expostas na internet	33%
Setores mais atacados	Finanças e administração pública, 18% cada
Registro de logs insuficiente	Mais de 40% dos casos
Falhas de autenticação/MFA	33% dos casos

O dado de finanças chama atenção: segundo o Talos, o setor não aparecia entre os três mais atacados desde 2024. Saúde caiu para o terceiro lugar após dois trimestres na liderança.

Por que esse golpe funciona tão bem?

Porque explora a confiança no suporte interno e usa ferramentas legítimas. Quick Assist e softwares de RMM não disparam alarme por si só; muitas empresas os usam todos os dias. O mesmo vale para chamadas no Teams vindas de contas externas com nomes como “Help Desk”. É a versão corporativa do golpe da falsa central: muda o cenário, mas a engenharia social é idêntica.

Como a empresa se protege?

Combine uma regra clara: o suporte nunca liga pedindo para o funcionário abrir sessão remota. Quem recebe a ligação desliga e liga de volta pelo ramal oficial.
MFA resistente a phishing (FIDO2/WebAuthn, chaves físicas) no lugar de push e SMS; até lá, use correspondência de número — recomendação do Talos. Veja passkeys e MFA.
Verificação pelo help desk antes de qualquer cadastro de novo fator de MFA.
Restrinja ferramentas de acesso remoto: desative o Quick Assist onde não for usado e limite quem pode executar RMM.
Bloqueie ou rotule chamadas externas no Teams e treine equipes para desconfiar de “Help Desk” de fora da organização.
Logs centralizados por pelo menos 90 dias, fora das máquinas, como recomenda o Talos.
Tenha um plano de resposta a incidentes e backups testados.

Recebi uma ligação dessas. E agora?

Desligue, não instale nada e avise o time de segurança pelo canal oficial. Se já concedeu acesso, desconecte o computador da rede (cabo e Wi-Fi), não o desligue e comunique a TI imediatamente — cada minuto conta. Veja o panorama do ransomware no Brasil e no mundo e os casos recentes no radar.