Uma mensagem chega pelo Microsoft Teams, uma ligação aparece no celular ou alguém abre um chamado dizendo que sua conta precisa de uma atualização urgente. A pessoa conhece termos técnicos, fala com segurança e pede apenas uma ação “rápida”: compartilhar a tela, abrir o acesso remoto ou informar um código. É assim que o falso suporte de TI transforma confiança em porta de entrada para a empresa.

Em 2 de setembro de 2026, a Microsoft publicou uma análise sobre uma campanha ativa em que criminosos se passavam por profissionais de TI no Teams. Após convencer a vítima a iniciar uma sessão remota, os invasores instalavam componentes maliciosos, faziam reconhecimento da rede e tentavam avançar para sistemas de maior valor. O ataque usava ferramentas legítimas e dependia principalmente de engenharia social, não de uma falha do Teams.

Para pequenas e médias empresas de Recife e Pernambuco, o alerta é direto: suporte remoto pode ser seguro, mas precisa de regras simples, identidade verificável e autorização controlada. Veja como reconhecer o golpe, reduzir o risco e responder se alguém já concedeu acesso.

Como funciona o golpe do falso suporte de TI

O criminoso cria uma situação que parece compatível com a rotina de trabalho. Pode alegar atualização do antivírus, bloqueio da conta, falha no filtro de spam, lentidão da máquina ou necessidade de instalar uma correção. O objetivo é levar a vítima a cooperar antes que ela confirme quem está do outro lado.

Na campanha descrita pela Microsoft Security, o contato começava por chat ou chamada de uma organização externa no Teams. A pessoa era orientada a aceitar o controle da tela ou abrir o recurso de assistência rápida e informar o código de conexão.

Depois do acesso, o atacante podia usar ferramentas conhecidas do Windows para baixar e executar arquivos, observar o ambiente e buscar outros computadores. Isso é perigoso porque uma sessão iniciada com a autorização do usuário pode se parecer com atendimento normal. O software de acesso remoto não é necessariamente malicioso; o problema é quem o controla e o que faz durante a sessão.

Sete sinais de um falso suporte

1. O contato não foi solicitado

O suporte aparece sem chamado aberto, aviso interno ou confirmação do responsável. Mesmo que a mensagem use o nome da empresa ou pareça vir de um perfil profissional, trate o contato inesperado como suspeito.

2. Há pressão para agir imediatamente

Fraudadores dizem que a conta será desativada, que o computador está infectado ou que a equipe perderá acesso se não agir em poucos minutos. A urgência reduz a chance de a vítima consultar outra pessoa.

3. O remetente é externo

No Teams e em outras plataformas, observe avisos de participante externo, domínio diferente e conversa iniciada fora da organização. Um nome como “Suporte Microsoft” ou “TI Corporativa” não prova identidade.

4. Pedem código ou controle remoto

Código de assistência, compartilhamento com controle, instalação de ferramenta remota e aprovação de privilégios são ações sensíveis. O suporte legítimo deve explicar a necessidade e seguir o canal oficial da empresa.

5. Solicitam comandos ou instalações

Desconfie de orientações para abrir PowerShell, Prompt de Comando, Executar ou Terminal e colar instruções. Arquivos chamados “atualização”, “hotfix” ou “correção” também precisam ser validados com o fabricante ou a equipe responsável.

6. Tentam impedir a verificação

Frases como “não desligue”, “não chame seu gestor” ou “o chamado é confidencial” servem para isolar a vítima. Um profissional legítimo aceita que você confirme o atendimento por outro canal.

7. A tela mostra ações fora do problema

Durante um suporte autorizado, observe o que está sendo feito. Abertura de pastas pessoais, busca por credenciais, instalação silenciosa, desativação do antivírus ou acesso a servidores não combinam com uma simples correção de e-mail.

Regra prática: pare, confirme e só então autorize

Antes de liberar o computador, use três passos:

  1. Pare: não aceite controle, não informe código e não execute comandos enquanto houver dúvida.
  2. Confirme: encerre a conversa e procure o suporte pelo telefone, portal ou contato já cadastrado pela empresa. Não use o número enviado pelo suspeito.
  3. Autorize: somente após confirmar o chamado, limite o acesso ao equipamento e ao período necessários.

Essa verificação pode levar dois minutos e evita horas de resposta a incidentes. Empresas que terceirizam o suporte devem informar aos funcionários quais canais o fornecedor usa, como o técnico se identifica e em que situações o acesso remoto pode ser solicitado.

Como organizar um acesso remoto seguro

A CISA recomenda controles para reduzir o uso malicioso de softwares de acesso remoto, incluindo inventário, monitoramento, restrição de ferramentas e autenticação forte. Para uma empresa pequena, o processo pode começar com medidas objetivas.

Use apenas ferramentas aprovadas

Defina qual aplicativo pode ser usado e bloqueie ou remova alternativas não autorizadas. Isso evita que cada técnico ou usuário instale uma solução diferente sem registro.

Exija chamado e confirmação fora da conversa

Toda sessão deve estar ligada a um chamado, responsável, equipamento e motivo. Se o contato começou por mensagem, confirme por um telefone conhecido ou pelo portal interno. Uma palavra ou frase de autenticação para atendimentos também pode ajudar.

Limite privilégios e duração

O usuário não deve trabalhar diariamente como administrador. Quando uma elevação for necessária, ela deve ser temporária e supervisionada. Encerre a sessão ao concluir o atendimento e confirme que o programa remoto não ficou configurado para acesso permanente.

Proteja contas e equipamentos

Ative autenticação multifator nas contas da empresa, mantenha sistemas atualizados e monitore atividades incomuns. MFA não impede alguém de controlar um computador já aberto, mas reduz o valor de senhas capturadas e dificulta novos acessos.

Restrinja contatos externos

Revise as políticas de colaboração do Teams e de outras plataformas. Permita domínios externos somente quando houver necessidade de negócio, mantenha os avisos de remetente externo visíveis e oriente a equipe a não aceitar conversas desconhecidas.

Treinamento rápido para a equipe

Não basta enviar uma política longa por e-mail. Faça um exercício de dez minutos e mostre exemplos próximos da rotina: “atualização do filtro de spam”, “conta prestes a expirar” e “chamado urgente da diretoria”. Pergunte quais etapas cada pessoa seguiria antes de liberar acesso.

Inclua quatro regras fáceis de lembrar:

  • o suporte não pede senha nem código de MFA;
  • contato inesperado deve ser confirmado por um canal conhecido;
  • nenhum comando deve ser executado por orientação de desconhecido;
  • qualquer erro pode ser comunicado imediatamente, sem punição automática.

O último ponto é essencial. Quando o funcionário teme represália, pode ocultar o incidente e dar mais tempo ao invasor. A empresa precisa tratar a comunicação rápida como parte da defesa, assim como ensina no seu guia contra phishing.

O que fazer se o acesso já foi concedido

Se alguém compartilhou a tela, informou um código ou percebeu ações suspeitas, aja com calma e rapidez:

  1. desconecte o computador da rede, retirando o cabo ou desligando Wi-Fi;
  2. encerre a sessão remota, se isso puder ser feito sem apagar evidências;
  3. avise imediatamente o responsável de TI ou o prestador cadastrado;
  4. use outro dispositivo confiável para trocar senhas e revogar sessões;
  5. preserve horários, mensagens, números, nomes de perfil e arquivos recebidos;
  6. verifique outros equipamentos e contas que a máquina acessava;
  7. registre decisões e siga um plano de resposta a incidentes.

Não continue usando o computador para acessar banco, e-mail ou sistemas da empresa até a análise técnica. Também não apague arquivos ou desinstale programas por conta própria: isso pode eliminar evidências úteis. Dependendo do alcance, será necessário isolar outros ativos, redefinir credenciais administrativas, revisar logs e restaurar o equipamento de uma fonte confiável.

Checklist para gestores

Use esta lista em uma reunião curta com TI, administrativo e liderança:

  • Há um canal oficial e conhecido para solicitar suporte?
  • Os funcionários sabem reconhecer remetentes externos?
  • A empresa definiu quais ferramentas remotas são permitidas?
  • Toda sessão fica vinculada a um chamado e a um responsável?
  • Usuários comuns trabalham sem privilégios administrativos?
  • MFA está ativo em e-mail, arquivos, sistemas e acesso remoto?
  • Existem alertas para instalações e comandos incomuns?
  • O procedimento de incidente pode ser acionado fora do horário?
  • Fornecedores têm contas individuais e acesso somente ao necessário?
  • A equipe praticou recentemente como recusar um contato suspeito?

FAQ sobre falso suporte de TI

O suporte legítimo pode pedir acesso remoto?

Sim, quando existe necessidade técnica, chamado confirmado e ferramenta autorizada. O usuário deve saber quem é o profissional, qual tarefa será realizada e como encerrar a sessão.

Um contato dentro do Teams é sempre confiável?

Não. Plataformas corporativas permitem colaboração externa, e criminosos podem criar perfis convincentes. Confira os avisos de origem externa e valide a solicitação por um canal conhecido.

Posso informar o código de assistência rápida?

Somente depois de confirmar a identidade do técnico e o chamado. Esse código permite iniciar uma sessão no seu computador e deve ser tratado como informação temporária e sensível.

MFA impede esse tipo de golpe?

MFA ajuda a proteger contas, mas não substitui a validação do suporte. Se a vítima entregar o controle de uma sessão já autenticada, o atacante pode agir dentro do computador. Por isso, combine MFA, menor privilégio, treinamento e monitoramento.

Como saber se instalaram algo malicioso?

Uma avaliação deve revisar programas, processos, logs, conexões, tarefas agendadas e alterações de conta. Se houve controle remoto suspeito, não confie apenas em uma verificação rápida de antivírus.

Conclusão

O falso suporte de TI funciona porque imita um processo necessário e explora a vontade de resolver o problema rapidamente. A melhor defesa é transformar confiança em procedimento: chamado registrado, identidade confirmada, ferramenta aprovada, acesso limitado e acompanhamento.

Uma empresa não precisa proibir suporte remoto. Precisa saber quando ele acontece, quem o autorizou e o que foi feito. Com regras claras e uma equipe treinada, o aviso “é urgente” deixa de ser ordem e passa a ser sinal para verificar.

Sua empresa quer revisar acesso remoto, contas e resposta a incidentes em Recife ou Pernambuco? Fale com a Infoamigo pelo WhatsApp e solicite uma avaliação da segurança de TI.

Fontes oficiais

  • Microsoft Security, 02/09/2026 — “Impersonating IT support: how threat actors turn a remote session into enterprise-wide access”.
  • CISA — “Guide to Securing Remote Access Software”.