Microsoft Teams guest access expõe falha de segurança
Microsoft Teams guest access permite que cibercriminosos burlem o Microsoft Defender para Office 365 quando o usuário ingressa como convidado em um tenant externo, segundo relatório do pesquisador Rhys Downing, da Ontinue.
Como a brecha funciona
Downing identificou um ponto cego cross-tenant: ao aceitar convites de outras organizações no Teams, o colaborador atua sob as políticas de segurança do ambiente anfitrião. Isso significa que filtros de malware, phishing e links maliciosos configurados pelo time de TI da empresa de origem deixam de ser aplicados. Um invasor poderia, portanto, enviar arquivos ou mensagens maliciosas sem disparar alertas do Defender.
O pesquisador ressalta que o problema não é uma vulnerabilidade de software tradicional, mas uma lacuna de governança entre locatários (“tenants”) do Microsoft 365. Enquanto ferramentas de e-mail possuem camadas de proteção mesmo em encaminhamentos externos, o Teams transfere integralmente a responsabilidade de segurança ao tenant onde o usuário atua como convidado.
Impacto para empresas e ações recomendadas
A falha afeta qualquer organização que utilize o Teams para colaboração externa, especialmente consultorias, agências ou times de vendas que alternam entre múltiplos locatários diariamente. Para reduzir o risco, especialistas sugerem:
- Revisar políticas de guest access e limitar permissões concedidas a convidados;
- Monitorar atividades de contas internas que operam em tenants externos;
- Investir em soluções de segurança complementar voltadas a mensagens instantâneas, conforme orienta a Wired.
Até o momento, a Microsoft não anunciou correções, reforçando que administradores devem configurar regras de acesso condicional e educação do usuário sobre riscos ao aceitar convites desconhecidos.
Brechas como essa mostram a importância de acompanhar tendências em cibersegurança corporativa. Para mais notícias e análises de impacto, acesse nossa editoria de Análise de Tecnologia.
Crédito da imagem: Thehackernews
Fonte: Thehackernews
