「IT Support（Internal）」。Teams のチャットにこの名前が出ても、相手は社内の情シス ではありません。セキュリティ 企業のArctic Wolfは10月26日、Teamsの外部チャットを使ったなりすまし を400件を超える事例で分析し、同じ型がくり返されていると報告しました。止める手立ては、外部アクセスの設定と、社員への一言です。
400件超で、同じ手順がくり返されていた
Arctic Wolfによると、攻撃者はまず、新しく作るか手に入れたMicrosoft 365 のテナントで、Teamsの身元を用意します。事例の30〜40%は、確認なしに数分で作れる既定の「onmicrosoft.com」のテナントでした。テナントの名前にはsupportやhelpdeskといった語を選び、365やonline、数字を足して空いている名前を取るといいます。
一方で、お金を払って取ったドメインへの移りも見え始めました。この数か月の有料のドメインでは、約50%が.top、約40%が.com、5%強が.com.plや.com.brのような多段のドメインです。
表示名の作り方にも型があります。
末尾にかっこ書きで「Internal」と付け、Teamsが「外部」と表示していても社内の人に見せる
「IT Service Desk - Liam」のように名前を足し、実在の担当者らしく見せる
盾や工具の絵文字を付ける（100件を超える例）
狙う会社のドメインや社名を、表示名に入れる（最近の例）
多くの事例では、チャットの前に「メールボム」がありました。受信トレイに、メールマガジンや登録の確認のメールが数分で数百通。その直後に「IT担当」がTeamsで連絡し、たったいま起きた騒ぎを片づけると申し出ます。メールには用心するよう教わった社員も、Teamsの中のメッセージには気を許しやすい、とArctic Wolfはみています。
Teamsの外部チャットで情シスを装う詐欺の流れ。Arctic Wolfの400件超の分析から 作成: 編集部 / 出典: Arctic Wolf Labs 攻撃者は約5分のうちに複数の社員へ連絡し、応じた人にはTeamsの通話で話を進めます。使わせる遠隔操作のツールでいちばん多かったのは、Windowsに入っているQuick Assistでした。インストールが要らず、Microsoftの署名があり、社員は6桁のコードを読み上げるだけで済むからです。そのあとAnyDeskやScreenConnectなど別のツールを入れ、居座る足場にします。顧客の報告では、応じてからマルウェアの実行まで15分もかかっていません。
Teamsのチャットにリンクを貼らないのも特徴です。貼ればSafe LinksやZAPの検査にかかるので、遠隔操作のあいだに攻撃者が自分でファイルを取りに行きます。つまり、メッセージの検査だけでは見落とします。
手口そのものは新しくありません。Arctic Wolfによると、始まりはMicrosoftが2024年半ばに記録したBlack Basta（Storm-1811）の攻撃です。メールボム、偽のヘルプデスク、Quick Assist、ランサムウェアという流れは、そのあとも別の攻撃者に引き継がれてきました。
狙われるのは、既定で開いている外部アクセス
Teamsの外部アクセスは、既定で「すべての外部ドメインを許可」になっています。Microsoftの説明書のとおり、ほかの会社のMicrosoft 365のテナントのユーザーは、相手の側も外部アクセスを許していれば、社員を探してチャットも通話もできます。Arctic Wolfも、今回の攻撃はTeamsの脆弱性ではなく、この既定の機能を使っていると説明しています。
だから、対策の中心は設定の見直しになります。Arctic Wolfは、多くの会社にはどのテナントとも話せる外部チャットは要らないとして、取引先だけを許す許可リストへの切り替えを勧めています。
外部アクセスが既定のままの会社は影響を受ける
Teamsの外部アクセスを「すべての外部ドメインを許可」のまま使っている会社。社外のどのテナントからも、社員にチャットと通話が届きます。
管理されていないTeamsアカウントとの通信をオンにしている会社。個人向けのTeams（無料）などのアカウントからも連絡が来ます。
社員のPCでQuick Assistや、会社が認めていない遠隔操作のツールが動く会社。頼まれるまま画面を渡せてしまいます。
外部アクセスを取引先のドメインだけに絞っている会社は、影響を受けにくいはずです。ただし、許可した取引先や自社の社員のアカウントが乗っ取られた場合は別。乗っ取った社員のTeamsで誘う手口は、「パスキーを更新して」はわな ヘルプデスクを装いTeamsやSMSで誘導 で取り上げました。
管理センターで見直す設定の手順
Teamsの外部からのチャットを絞る6つの設定と、Microsoftの既定 作成: 編集部 / 出典: Microsoft Learn、Arctic Wolf Labs
Teams管理センターの［ユーザー］＞［外部アクセス］を開き、外部組織のTeamsとSkype for Businessのユーザーの設定を見ます。取引先が決まっているなら［特定の外部ドメインのみを許可する］を選び、取引先のドメインだけを足します。許可リストを作ると、ほかのドメインはすべてブロックされます。
同じ画面で、管理されていないTeamsアカウントとの通信を見ます。使わないならオフにします。残すなら、組織が管理していないアカウントの外部ユーザーから連絡を始められるチェックを外します。外すと相手はメールアドレスで社員を探せなくなり、会話は社員の側からしか始まりません。
試用版だけのテナントとの外部アクセスを、PowerShellで確認します。Set-CsTenantFederationConfigurationの-ExternalAccessWithTrialTenantsは、Microsoftの説明書では既定がBlockedです。Arctic WolfもBlockedを勧めているので、Allowedに変えていないかを見れば足ります。
「すべて許可」や「特定のドメインをブロック」の形で使い続けるなら、［セキュリティ チームがブロックされたドメインを管理できるようにする］をオンにします。セキュリティの担当がMicrosoft Defenderのテナントの許可/ブロック一覧から、Teamsのドメインを止められるようになります。登録は4,000件までで、24時間以内に効きます。許可リストの形の会社では、この一覧は使えません。
Quick Assistを社内の遠隔支援に使っていないなら、アプリを削除するか、つなぎ先（remoteassistance.support.services.microsoft.com）を止めます。Microsoftの説明書が勧めている方法です。会社が認めていない遠隔操作のツールも、EDRやアプリの制御で止めます。
Defender for Office 365を契約しているなら、Teamsの不審なメッセージや通話を社員が報告できる設定を見ます。
Microsoftも、外部との初めてのチャットでフィッシングをAIで見つける機能を入れる予定です（Microsoft Teams、チャットのフィッシングをAIで検知へ 外部との初回が対象 ）。ただ、検知は設定の代わりにはなりません。届く相手を先に絞るほうが確実です。
社員には「情シスはTeamsで突然、画面を求めない」と伝える
設定だけでは、許可した相手や、乗っ取られたアカウントからの連絡は止まりません。最後に効くのは、社員が「おかしい」と気づいて手を止めることです。
Arctic Wolfは、本物の情シスがどの経路で、どの名前で連絡するかを、社員に伝えておくよう勧めています。遠隔操作の頼みには、登録した電話番号への折り返しなど、別の経路での確認を必ず挟む。Teamsのチャットを握っている攻撃者には、その外での確認は通せません。
社内に流す文の例です。
情シスが、Teamsの外部のアカウントから突然連絡して、画面の共有やQuick Assistのコードを頼むことはありません。「IT Support」「ヘルプデスク」と名乗っていても、名前の横に「外部」と出ていたら社外の人です。迷惑メールが急に大量に届いたあとの「IT担当からの連絡」は、特に疑ってください。応じる前に、内線（〇〇番）か社内ポータルの窓口に確認をお願いします。
Arctic Wolfの数字でいちばん重いのは、15分という短さでしょう。社員が応じてから考える時間はほとんど無く、決め手は応じる前の一言になります。外部アクセスを取引先だけに絞る作業は、管理センターで数分。そこから先は、社員が「外部」の印を見て手を止められるかにかかっています。
