Zendesk no olho do furacão: como spam de respostas automáticas inunda bandejas de entrada em escala mundial

Desde 18 de janeiro, milhares de pessoas em todo o mundo começaram a receber ondas de e-mails estranhos e repetitivos que, à primeira vista, parecem vir de empresas legítimas. Não se trata de uma falha isolada ou de um vírus tradicional, mas de um abuso massivo de sistemas de atendimento ao cliente que usam o Zendesk: atacantes criam tickets falsos introduzindo endereços de e-mail alheias, e o próprio mecanismo de resposta automática dessas plataformas dispara constantemente confirmações.

A informação pública sobre este fenômeno começou a circular em redes sociais, com usuários mostrando bandejas de entrada atestadas de mensagens com assuntos desconcertantes. Especialistas e jornalistas do setor escolheram esses depoimentos e publicaram pesquisas que explicam o mecanismo por trás do problema. Um resumo técnico e de seguimento apareceu em BleepingComputer, e profissionais de segurança como Troy Hunt e outros membros da comunidade compartilharam evidências em suas contas X e em redes.

O que distingue esta campanha de spam convencional é que as mensagens parecem chegar desde domínios corporativos e sistemas de suporte reais, o que facilita a sorte dos filtros de lixo. Mesmo assim, na grande maioria dos casos não há links nem arquivos maliciosos destinados a estafar ou instalar software: a intenção aparente é gerar ruído e confusão mais que roubar credenciais. Os assuntos dos e-mails são deliberadamente provocadores, imitam notificações legais ou de retirada de conteúdo, ou prometem supostas promoções como “Discord Nitro grátis”, e muitas vezes usam caracteres Unicode para adornar ou distorcer o texto.

Entre as organizações cujas instâncias do Zendesk foram detectadas como emissoras dessas respostas automáticas incluem nomes reconhecidos do mundo digital e do entretenimento: plataformas de mensagens e jogos, serviços de armazenamento em nuvem, empresas de segurança e organismos públicos. Algumas empresas afetadas responderam publicamente aos usuários explicando que se trata de respostas automáticas a tickets que não foram gerados pelos credores das contas e pedindo que essas mensagens fossem ignoradas.

O Zendesk já havia advertido em dezembro sobre um tipo de abuso similar, que denominou “relay spam”, e publicou recomendações para mitigar o risco. Em sua documentação técnica explica que permitir a criação de tickets a partir de usuários não verificados facilita este vetor de ataque e sugere medidas como restringir quem pode enviar pedidos e remover campos ou modelos que aceitem endereços ou assuntos sem validação. A nota do Zendesk pode ser consultada no seu centro de ajuda. support.zendesk.com, assim como guias práticas para endurecer a configuração em Permitting only added users to submit tickets e dicas para combater spam.

Desde a plataforma, o Zendesk declarou que tem implantado salvaguardas adicionais para detectar e conter este tipo de atividade incomum, implementando limites e monitoração mais rigorosa para parar os picos de envio. Ainda assim, a responsabilidade prática recai sobre as empresas que integram estes sistemas: muitas optam por políticas abertas que facilitam o contato, mas essa abertura também pode ser explorada por quem dispõe de listas de correios em larga escala.

Para as pessoas que receberam estas ondas, a recomendação principal é manter a calma: não há evidências de que as mensagens contêm links de phishing ou arquivos comprometidos nesta campanha concreta, e as empresas afetadas insistem que não houve acesso a contas usuário nem mudanças em serviços sem autorização. Ainda assim, convém extremar a precaução habitual com qualquer e-mail inesperado - não clicar em links suspeitos, verificar o remetente com detenimento e remover mensagens redundantes - e, se tiver dúvidas, contactar diretamente com a empresa através de seus canais oficiais em vez de responder à mensagem recebida.

No plano organizacional, a lição é clara: “comodidade” não deve significar exposição. Os equipamentos responsáveis pelo suporte e segurança devem rever seus fluxos de tickets, limitar a criação automática de endereços não verificados e auditar modelos e placeholders que permitam a emissão de notificações sem controle. Essa mudança nas políticas de configuração, ligada à melhoria de detecção na plataforma pelo Zendesk, reduz significativamente a capacidade de converter um serviço legítimo em uma máquina de spam.

Este episódio lembra que as infra-estruturas que usamos diariamente podem se tornar vetores inesperados quando se combinam configurações permisivas e atores que buscam causar desconforto em grande escala. Manter-se informado, aplicar as recomendações de segurança dos fornecedores e validar mudanças na forma como os sistemas de atenção automática respondem são passos essenciais para evitar que o ruído digital termine por contaminar a comunicação legítima entre empresas e usuários. Para acompanhar a cobertura técnica e atualizações sobre este incidente, BleepingComputer publicou o seguimento do caso em seu site: BleepingComputer - Security, e as próprias páginas de suporte do Zendesk contêm as instruções oficiais citadas acima.