Microsoft Teamsを悪用してヘルプデスク装うビッシング攻撃が観測される

Microsoft Teamsを悪用してヘルプデスク装うビッシング攻撃が観測される

Help Net Security – September 1, 2026

パロアルトネットワークスのUnit 42が特定した「Spring Ring」と呼ばれる組織的なビッシングキャンペーンでは、Microsoft Teams上の偽のITサポートが従業員を騙し、マルウェアのインストールやコンピューターへのリモートアクセスを試みていた。

攻撃者は、Microsoft 365のフォールバックドメイン「onmicrosoft[.]com」を悪用し、「ITProtectionDepartment」や「MandatoryNetworkMonitoring」のような社内のIT部門に似せた名前で外部のMicrosoft Teamsテナントに登録することで、組織内の人間を装っていた。被害者にコンタクトを取る際には「ヘルプデスク」のような役職名ではなく、人名を使うことで信頼性を高めようとする者もいたという。

Unit 42は2つのキャンペーンを観測したものの、どちらも従業員とのTeamsチャットを通じたビッシングによって被害者に接触する方法は共通しており、マルウェアの配信方法が異なっていた。1つ目のキャンペーンでは、Quick Assistを起動するか、リモートサポートソフトウェアをダウンロードするよう指示する手口が使われた。攻撃者は、マシンの制御権を要求して接続を確立した後に、コマンドを実行してユーザーのホストとドメインを列挙し、攻撃者が管理するサーバーから難読化されたPowerShellベースのリモートアクセス型トロイの木馬（RAT）をダウンロード。さらに、Windowsに組み込まれているAMSIを無効化し、C2サーバーに接続した。

2つ目のキャンペーンでは、ビッシング通話中にクラウドストレージにホストされているファイルのリンクが被害者に送信される。ファイル名には被害者の企業名とユーザー名が含まれており、ダウンロード・実行するとブラウザのハイジャックやSMB経由での内部ネットワークスキャンに加え、PetitPotamというツールを使用したMicrosoft NT LAN Manager（NTLM）リレー攻撃が試みられた。NTLMリレー攻撃が成功した場合、攻撃者はドメインレベルの権限を獲得できる可能性があるとみられる。

Unit 42はいずれの攻撃も阻止し、チャットや通話を行った攻撃者のIDを26件特定したとのこと。2026年1月から4月にかけて10社超の150人以上の従業員が攻撃者からの接触を受けたと推測されている。また、攻撃者が制御していたドメインやIPアドレス、ファイルハッシュなど、侵害の兆候も公開された。