Teams悪用の偽ITサポート攻撃、400件超を確認
Arctic Wolfは、スパムメールで受信箱を埋めた後にMicrosoft Teams上でITサポートを装い遠隔アクセスを得る手口を400件超で確認したと警告した。
セキュリティ企業Arctic Wolfは、Microsoft Teams上で攻撃者がITサポートを装い、遠隔アクセスを取得する一連の攻撃が継続中だと警告した。同社はこの手口を400件超で確認したとしている。techradar.comが伝えた。
攻撃者はまず、数百通から数千通のスパムメールを短時間で送りつけ、被害者の受信箱をあふれさせる。その後、ITサービスデスクを名乗るアカウントからTeams上でメッセージや通話を送り、Quick Assist、AnyDesk、ScreenConnect経由で遠隔アクセスを許可するよう求める。
Arctic Wolfは、Teamsで外部アクセス（フェデレーション）が既定で有効になっている点を、この手口を成立させる主な要因だと指摘した。既知のTeamsの脆弱性を悪用するものではないという。
侵入後は商用RMMツールを導入
アクセスを得た攻撃者は、別系統の制御経路を確保するため商用のRMMツールを導入し、標的のITネットワークを調査する。Arctic Wolfは対策として、Teamsの外部チャットを全許可から信頼できる組織の許可リスト方式へ変更することと、従業員への研修を挙げている。
よくある質問
Teamsの偽ITサポート攻撃はどのような手口ですか？
スパムメールで受信箱を埋めた後、ITサービスデスクを装うアカウントからTeamsで連絡し、Quick AssistやAnyDesk、ScreenConnectで遠隔アクセスを許可させる手口です。
Teamsの脆弱性は悪用されていますか？
Arctic Wolfによると、既知のTeamsの脆弱性は悪用されていません。外部アクセスが既定で有効な点が主な要因とされています。