攻撃者、Microsoft Teamsを悪用しIT部門を偽装して企業アクセス情報を窃取

攻撃者がMicrosoft Teamsを悪用し、社内IT部門になりすまして従業員をだまし、リモートアクセス権や企業の認証情報を引き渡させる手口が急増しています。一方で、Tycoon2FAのような主要プラットフォームに紐づく従来型のメールフィッシングは、件数の減少傾向にあります。

Microsoftが公表した2026年第2四半期のメール脅威動向データによると、3月に発生したフィッシング・アズ・ア・サービス基盤「Tycoon2FA」の摘発が、下流に大きな影響を及ぼしていることが分かります。

Computer Science

Tycoon2FA関連のフィッシング件数は2025年後半の水準からおよそ92%減少し、それに伴いQRコードやCAPTCHA認証を利用したキャンペーンも減少しています。

ただし、これはソーシャルエンジニアリング全体の減少にはつながっていません。むしろ、攻撃者が飽和状態にあるメール防御の裏をかき、Microsoft Teamsのようなコラボレーションプラットフォームへと軸足を移す「チャネルシフト」が起きているのです。こうしたプラットフォームでは通信がセキュアメールゲートウェイを迂回することが多く、社内ワークフローが持つ暗黙の信頼をそのまま引き継いでしまいます。

同時に、Microsoft Threat Intelligenceおよび複数の独立系研究者は、Teamsを起点としたフィッシングおよびビッシング(音声フィッシング)が着実に増加していると報告しています。

週あたりの悪質な通話試行件数は、2025年半ばの水準の約10倍に迫る勢いで増加しており、攻撃者は平日の営業時間帯に合わせて発信することで、通常のIT業務に紛れ込ませています。

特に懸念されているのが、攻撃者がテナントをまたいだTeamsチャットを使ってIT部門やヘルプデスク担当者を装い、アカウントロックアウトやセキュリティインシデントが差し迫っていると警告し、ユーザーに「確認」やリモート支援セッションの開始を促す手口です。

攻撃者はあからさまなマルウェアを送り込むのではなく、Quick Assistなど正規のリモートサポートツールに頼ります。ユーザーがセッションを承認してしまうと、攻撃者は数分のうちに一般ユーザー権限からドメイン管理者権限へと昇格し、日常的なIT保守作業を装いながら静かにデータを窃取します。

表示名や送信者の身元も進化を遂げており、いかにも「IT部門」らしい名称ではなく、より汎用的でSaaS風の名称を採用するキャンペーンが増加しています。これは、より広範な「ClickFix」型のアップデートやスキャンを装う手口とも軌を一にしています。

Microsoft Threat Intelligenceの観測によれば、Teamsを起点としたソーシャルエンジニアリング、特に音声フィッシング(ビッシング)は増加を続けており、四半期末時点で週あたりの悪質な通話試行件数は2025年半ばの水準のおよそ10倍に達しています。

この微妙な手口の変化により、攻撃者は単純なキーワードベースの検知を回避しやすくなり、被害者の注意を送信者の真正性ではなく、ロックアウトという口実がもたらす緊急性の方へと向けさせることができます。

悪用されるMicrosoft Teams

Teams悪用の傾向は、依然として大規模でありながら最適化が進むメールベースのフィッシング活動を背景としています。Microsoftは2026年第2四半期を通じて、約76億件のメールフィッシング脅威を検知しており、その大半は従来型のマルウェア配布ではなく、認証情報の窃取に関連したものです。

Microsoftが言及した注目すべき多段階キャンペーンには、行動規範をテーマとしたAiTM(Adversary-in-the-Middle)によるトークン侵害の連鎖があり、入れ子構造のEMLファイルやカレンダー招待を組み合わせています。

Microsoftの認証リダイレクトを悪用することで、攻撃者が信頼された各種サービスやOAuthフローを武器化し、ユーザーにほとんど違和感を与えることなく認証情報やトークンを静かに窃取する手口が浮き彫りになっています。

PDF添付ファイルは一貫して攻撃全体の24~31%を占め、常に第2位につけています。PDFの件数は4月まで比較的安定していましたが、5月に41%、6月には4%それぞれ減少しました。

Tycoon2FAの衰退に関する並行報道によれば、CAPTCHA認証やQRコードを用いたフィッシングの件数は急減しています。運営者はCloudflareからの締め出しを受け、.RUドメインへの移行を余儀なくされるなどインフラの再構築に苦戦しており、単一の後継サービスではまだその穴を埋めきれていない状況です。

Microsoft Defender Researchは、ほぼ米国内に限定された、19,000近い組織にまたがる107,000人超のユーザーを標的としたフィッシングキャンペーンを観測しました。

メールというエコシステムが大規模なコモディティ型フィッシングにとってますます不利になる中、ソーシャルエンジニアリングの舞台をTeamsへ移すことで、攻撃者は監視の目が行き届いていない新鮮な攻撃対象領域を手に入れています。そこでは、極めて文脈に即した1対1の誘い文句や、対話形式の音声通話を駆使できるのです。

Teamsを利用したIT部門なりすましへの対策には、これまでメールにのみ向けられてきたのと同じ水準の警戒心と統制を、コラボレーションツール上のトラフィックにも適用することが求められます。

セキュリティチームは外部アクセスポリシーを厳格化し、Quick Assistのようなリモートサポートツールの利用を制限または強化するとともに、チャットや通話経由で受け取ったサポート要請の真正性を確認するための明確なルールを含め、正規のIT部門がどのような形で連絡してくるのかをユーザーに周知徹底する必要があります。

Security consulting services

Microsoftおよび各種標準化団体は現在、特権ロールに対してフィッシング耐性のあるMFAを強く推奨しています。FIDO2/WebAuthnセキュリティキーやプラットフォーム組み込みの認証機能などの方式を用い、管理者アカウントには条件付きアクセスポリシーを通じてこれを強制適用することが望まれます。

これらの対策を、Defender SmartScreen、Safe Links/Safe Attachments、ネットワーク保護、そしてMicrosoft 365全体にわたる自動攻撃遮断機能と組み合わせることで、ユーザーが悪意あるリモートセッションを承認してしまった場合や、Teamsを介したソーシャルエンジニアリングによって侵害されたリソースへ誘導されてしまった場合でも、被害の範囲を限定できます。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤って解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMといった管理された脅威インテリジェンス基盤の中でのみ行ってください。

2026年にAI SOCが備えるべき機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード