Pesquisadores de segurança cibernética da Check Point divulgaram recentemente detalhes de quatro falhas críticas no Microsoft Teams, plataforma de colaboração amplamente utilizada em empresas e instituições. As vulnerabilidades, catalogadas sob a CVE-2024-38197 e outras relacionadas, permitiam que invasores manipulassem conversas, falsificassem identidades e alterassem notificações, criando um cenário propício para ataques sofisticados de engenharia social.
O impacto dessas falhas no Microsoft Teams vai além de simples incômodos digitais. Ao quebrar a confiança que os usuários depositam na plataforma, essas vulnerabilidades transformam o Teams em um vetor de risco real para empresas de todos os portes, mesmo após a Microsoft ter disponibilizado os patches de segurança correspondentes. Neste artigo, explicamos de forma clara e objetiva como essas falhas funcionavam, os riscos envolvidos e como se proteger.
Com a adoção global massiva do Microsoft Teams, qualquer falha na segurança do aplicativo representa um alvo valioso para cibercriminosos. Entender os detalhes dessas vulnerabilidades é essencial para administradores de sistemas, profissionais de TI e usuários corporativos que dependem do Teams para comunicação diária.
O que as falhas no Teams permitiam fazer?
As quatro vulnerabilidades descobertas pela Check Point permitiam diversos tipos de ataques. Abaixo, detalhamos os principais vetores de risco:
Manipulação de mensagens
Uma das falhas mais preocupantes permitia que um invasor alterasse o conteúdo de mensagens já enviadas sem que o rótulo “Editado” aparecesse corretamente, mantendo a identidade do remetente original. Isso significa que mensagens confiáveis poderiam ser modificadas para incluir links maliciosos, instruções falsas ou informações enganosas, sem que o destinatário percebesse a alteração.
Falsificação de notificações
Outra vulnerabilidade possibilitava que o atacante modificasse notificações recebidas pelo usuário, fazendo com que mensagens maliciosas parecessem vir de fontes confiáveis, como um executivo ou o departamento de TI. Esse tipo de ataque aumenta significativamente o risco de engenharia social, pois o usuário tende a agir baseado na aparente legitimidade da notificação.
Falsificação de identidade em chats e chamadas
Os invasores também podiam alterar nomes de exibição em conversas privadas e modificar arbitrariamente os nomes exibidos em notificações de chamadas. Isso permitia que um usuário mal-intencionado se passasse por colegas ou superiores, aumentando a chance de enganar o destinatário e induzi-lo a clicar em links ou fornecer informações confidenciais.
O impacto real: engenharia social e a quebra da confiança digital
O risco dessas falhas no Microsoft Teams não é apenas técnico; é profundamente humano. Ao explorar a falsificação de identidade, os invasores podem enganar funcionários para que compartilhem dados sensíveis, como senhas, informações financeiras ou documentos corporativos. Além disso, instruções aparentemente legítimas podem levar a ações não intencionais dentro da empresa.
O especialista Oded Vanunu, da Check Point, ressaltou: “os agentes maliciosos não precisam mais invadir sistemas; basta que eles quebrem a confiança”. A máxima “ver não é mais o mesmo que crer” se aplica perfeitamente aqui: mensagens, notificações e chamadas não podem ser automaticamente consideradas seguras, mesmo quando parecem vir de fontes confiáveis.
A resposta da Microsoft e a CVE-2024-38197
As falhas foram relatadas à Microsoft pela Check Point em março de 2024. A empresa iniciou a liberação de correções em agosto de 2024, com patches subsequentes em setembro de 2024 e outubro de 2025. Entre as vulnerabilidades, a CVE-2024-38197 recebeu destaque, com pontuação CVSS 6.5 (gravidade média). Essa falha afetava especialmente o Teams para iOS, permitindo a falsificação do nome do remetente em mensagens, expondo usuários móveis a riscos consideráveis.
A atuação rápida da Microsoft foi crucial para mitigar os impactos, mas o episódio reforça a necessidade constante de manutenção e atualização das aplicações corporativas, além da conscientização dos usuários sobre práticas de segurança digital.
Conclusão: a importância de manter tudo atualizado
A adoção global do Microsoft Teams o torna um alvo constante para cibercriminosos. A descoberta dessas falhas demonstra que, mesmo em plataformas consolidadas, a segurança nunca pode ser assumida como garantida. Administradores de TI e usuários finais devem assegurar que todas as instâncias do Teams — desktop, web e, especialmente, aplicativos móveis como iOS — estejam atualizadas com os últimos patches de segurança.
Além disso, é fundamental desconfiar de solicitações incomuns, links e instruções, mesmo que pareçam vir de colegas de confiança. Manter o Microsoft Teams atualizado e cultivar uma cultura de verificação constante é a melhor forma de proteger informações sensíveis e evitar que ataques de engenharia social tenham sucesso.
