Teamsで偽のITサポートが接触、400件超の攻撃をArctic Wolfが分析
影響を受けるもの
- Microsoft Teamsの外部チャットを利用する企業
- Microsoft 365の利用者と管理者
- 遠隔支援ツールを利用するWindows端末
Arctic Wolfは10月26日、Microsoft Teamsの外部チャットを悪用した400件超の攻撃事例を分析したと発表した。攻撃者は外部組織のアカウントを使い、表示名をITサポートなどにして従業員へ接触する。大量のニュースレター等を送りつけて受信箱を混乱させ、その対応を口実に遠隔支援ツールの利用へ誘導する手口が確認されている。[1]
報告には、偽のサポート担当者が遠隔操作を受け入れさせ、ソフトウェアのダウンロードやコマンド実行へ進める事例が含まれる。関連する手口としてMicrosoftも4月18日、組織をまたぐチャットでヘルプデスクを装い、Quick Assistによる遠隔操作から社内への侵入拡大、データ持ち出しへ進む攻撃を報告している。日常業務で使う連絡手段と支援ツールが、侵入の入口になっている。[1][2]
企業では、外部から連絡できる相手と、遠隔支援を許可する手順を合わせて確認したい。Microsoftの管理手順では、Teamsの外部アクセスを特定ドメインだけに許可でき、組織管理外のTeamsアカウントからの連絡も設定できる。取引先との必要な連絡を整理したうえで、サポートを名乗る相手は既知の社内窓口で確認し、外部チャットと遠隔操作ツールの実行記録を突き合わせることが重要になる。[1][3]
担当者が確かめること
- Teams管理センターの外部アクセスを確認し、組織全体と利用者別の設定で、許可する取引先ドメインを整理する。
- 組織管理外のTeamsアカウントから連絡を開始できる設定を確認し、業務上不要なら無効にする。
- 端末で使う遠隔支援ツールを棚卸しし、承認した製品・用途と、身に覚えのないインストールや実行を照合する。
- 大量メールの受信、初めての外部チャット、遠隔操作ツールの実行が続いていないか、関連する記録を確認する。
- ITサポートを名乗る相手から操作を求められたら、あらかじめ登録した電話番号や社内窓口で依頼を確認する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
出典
- Arctic Wolf「Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access」
- Microsoft「Cross-tenant helpdesk impersonation to data exfiltration: A human-operated intrusion playbook」
- Microsoft「Manage external meetings and chat with people and organizations using Microsoft identities」