A Microsoft está reforçando a segurança do Teams com um novo recurso que detecta URLs (endereços de internet) maliciosas ocultas em QR codes e alerta os destinatários após o recebimento das mensagens.
A melhoria amplia as proteções oferecidas pelo Microsoft Defender for Office 365, combinando alertas de mensagem com informações investigativas adicionais para as equipes de segurança.
Teams detecta QR codes maliciosos
De acordo com o aviso MC1490905 do Message Center, publicado em 7 de outubro, a implantação global terá início no começo de outubro de 2026 e está prevista para ser concluída até o início de novembro. Organizações que utilizam o Teams com o Defender for Office 365 receberão a melhoria automaticamente, sem necessidade de configuração adicional.
O novo recurso de proteção examina os QR codes presentes em mensagens recebidas no Teams, extrai os endereços da web contidos neles e verifica se esses destinos são nocivos. Caso uma URL perigosa seja detectada, o Teams exibirá um aviso na mensagem relevante, tanto em conversas internas quanto externas.
A Microsoft disponibilizou exemplos de mensagens classificadas como potencialmente nocivas e de publicações em canais marcadas como bloqueadas. Eles indicam diferentes resultados de aplicação, mas não garantem que todo QR code suspeito será removido automaticamente.
Organizações com o Defender for Office 365 Plano 1 ou Plano 2 também podem utilizar o Zero-hour Auto Purge (ZAP, ou Purga Automática em Tempo Zero) em mensagens internas elegíveis. Segundo a Microsoft, o ZAP coloca em quarentena chats internos ou mensagens de canal identificados como malware (software malicioso) ou phishing (fraude por engenharia social) de alta confiança após a entrega.
Detecção, aviso e quarentena são ações distintas. Se uma mensagem é elegível para bloqueio, isso depende da sua classificação de ameaça e das configurações de proteção aplicáveis.
O phishing baseado em QR code, frequentemente chamado de quishing, incorpora um destino malicioso em uma imagem em vez de um link clicável tradicional. Os atacantes podem apresentar pedidos de leitura como verificação de conta, acesso a documentos ou suporte técnico urgente, redirecionando os destinatários a sites fraudulentos de autenticação.
Ao extrair o endereço codificado, o Defender pode avaliar o próprio destino em vez de depender apenas do texto ao redor.
Esse aprimoramento é diferente da proteção anunciada anteriormente para remetentes externos, que oculta imagens de QR codes até que os destinatários escolham revelá-las, adicionando uma etapa extra antes da leitura. Em contraste, o novo recurso avalia as URLs extraídas após a entrega de uma mensagem e responde a qualquer ameaça identificada. Juntos, esses controles abordam diferentes estágios de exposição.
O anúncio também menciona nova visibilidade no Microsoft Defender XDR (Detecção e Resposta Estendidas) Advanced Hunting (Caça Avançada). Os endereços extraídos serão registrados na tabela MessageUrlInfo, com os QR codes indicados na coluna UrlLocation, ajudando analistas a identificar links incorporados em QR codes durante investigações.
A documentação da Microsoft descreve as tabelas de caça de URLs do Teams e fornece controles para revisar o status do ZAP, políticas de quarentena e exclusões de destinatários. Os administradores devem revisar essas configurações e integrar as detecções de QR code em seus fluxos de trabalho de investigação.
Como essa proteção ocorre após a entrega, os colaboradores podem visualizar uma mensagem antes de qualquer ação corretiva. Sempre verifique pedidos incomuns de leitura de QR code, especialmente aqueles que solicitam credenciais ou reparos urgentes de conta, por meio de canais confiáveis.
Interrompa ameaças cibernéticas antes que causem impacto com 21 minutos a menos de MTTR (Tempo Médio de Detecção e Resposta). Integre o Sandbox da ANYRUN ao seu SOC (Centro de Operações de Segurança).
