Spring Ringと名付けられた組織的なソーシャルエンジニアリングキャンペーンが、外部のMicrosoft Teamsアカウントを使って企業のITヘルプデスク担当者になりすまし、2026年1月から4月にかけて少なくとも10の組織にまたがる150人以上の従業員を標的にしていたことが分かりました。
この攻撃は、攻撃者がフィッシング活動をメールから信頼された共同作業プラットフォームへとシフトさせ、実際の音声通話を使って従業員にリモートアクセスツールやマルウェアを実行させようとしていることを示しています。
これらのアカウントは攻撃者が管理する.onmicrosoft[.]comテナント上でホストされており、テナント名には「internal」「network」「certified」「infrastructure」といった企業らしさを演出する単語が含まれていました。
Unit 42は、この活動がMicrosoft Teams自体の脆弱性や侵害によって発生したものではないと強調しています。
Vulnerabilityassessment tool
攻撃はまず、要求していないTeamsチャットリクエストから始まります。標的がこれを承諾するか反応すると、なりすまし犯はすぐに音声通話をかけ、緊急の技術的問題に対応していると主張します。
このビッシング(音声フィッシング)の要素がこの攻撃の中核を成しています。悪意あるリンクや認証情報を盗むページだけに頼るのではなく、攻撃者はリアルタイムの会話を利用して被害者の疑念を払拭し、被害者の反応に応じて話の内容を調整していきます。
攻撃者は繰り返し電話をかけており、時にはボイスメールを残したり、複数の従業員に次々と電話をかけたりしていました。失敗した通話はしばしば数秒で終わる一方、話が進んだやり取りは10分から15分続くことが多かったといいます。
このキャンペーンの規模と執拗さは、外部との共同作業機能が初期侵入の経路として悪用されるケースが増えていることを浮き彫りにしています。
Unit 42は、このTeamsビッシングの誘い文句に続く、2種類の異なるペイロード配信の流れを確認しています。
1つ目のキャンペーンでは、偽の技術担当者が従業員を説得し、Windows Quick Assistを起動させたり、正規のリモート監視・管理ツールをインストールさせたりしていました。
リモート操作の権限を得た後、攻撃者は whoami /groups や net group /dom といった偵察コマンドを実行し、侵害したシステムとドメイン環境を特定しました。
続いて攻撃者はPowerShellを使い、san-sid[.]comから難読化されたリモートアクセス型トロイの木馬(RAT)を取得しました。
Palo Alto Networks傘下Unit 42の研究者によると、攻撃者は「IT Help Desk」「IT Assistance」「Support Staff」といった緊急性やプロフェッショナルさを感じさせる表示名を使い、社内サポート部門に見せかけた外部Microsoft 365アイデンティティを作成していました。
研究者らは、隠蔽されたスクリプトがamsiInitFailedフラグを通じてAntimalware Scan Interface(AMSI)の無効化を試み、そのバイパスが成功したかを検証したうえでホスト情報を収集し、追加のペイロードを求めてコマンド&コントロール(C2)インフラに接続していたことを突き止めました。
Cortex XDRの防御機能がこのマルウェアの実行をブロックしました。
Microsoft Teamsを悪用したITサポート詐欺
被害者たちは、標的となった組織名と受信者個人の両方に合わせて名付けられた、クラウドでホストされた実行ファイルへと誘導されており、これが正当なものであるかのような印象をさらに強めていました。
実行後、このマルウェアは自身をTempディレクトリにコピーし、永続化のために追加の実行ファイルコピーを作成したうえで、非表示のMicrosoft Edgeインスタンスを起動してブラウザ拡張機能をサイドロードしました。
ComparingTop Antivirus Protection
その後、この攻撃チェーンはC:\ProgramData\IntegrityData\python.exeにあるPythonを使い、TCPポート445経由でSMBを利用した社内システムのスキャンを行い、組織のドメインコントローラに対してNTLM認証を発生させる動きを引き起こしました。
その後、攻撃者はPetitPotamを使ってドメインコントローラに攻撃者が管理するインフラへの認証を強制させようと試み、NTLMリレー攻撃によってドメインレベルの権限昇格へとつながりかねない状況を作り出しました。
この乗っ取り未遂は、Unit 42のManaged Detection and Responseによって阻止されました。
今回のSpring Ringの活動は、SaaS型コミュニケーションツールに対する信頼をめぐる、より広範な問題を映し出しています。
従業員は外部からのメールに表示される警告バナーや不審な送信者ドメイン、埋め込まれたリンクには注意を払うかもしれませんが、一見ヘルプデスクからのものに見えるTeams通話は、発信者が専門用語を使い緊急性を演出してくると、ごく普通のやり取りに見えてしまいがちです。
Unit 42の報告によれば、2026年最初の4カ月間においてCortexが検知したフィッシングアラート全体のうち、共同作業ツールを悪用したフィッシングに関するアラートが42%を占めており、これは直前の4カ月間の30%から上昇しています。
同社はまた、KnowBe4のデータとして、2025年10月から2026年3月にかけてTeamsを悪用した攻撃が41%増加したことも挙げています。
防御担当者は、外部からのTeamsチャットが要求していない音声通話へと急速に発展するケースを、リスクの高いアイデンティティ関連の兆候として扱うべきです。
その他の兆候としては、IT部門になりすました外部テナント、同一アイデンティティからの複数回の短時間通話、想定外のRMM(リモート監視・管理)ツールの展開、個人向けにカスタマイズされたクラウドホスト型実行ファイル、不審なEdge拡張機能の活動、ドメインコントローラが関与するEFSRPCやNTLMのトラフィックなどが挙げられます。
各組織は、業務要件が許す範囲で外部とのTeamsコミュニケーションを制限または厳格に管理し、ITサポート依頼に対するコールバックによる本人確認プロセスを必須化するとともに、ヘルプデスク担当者が要求していない通話を通じてユーザーにリモートアクセスソフトウェアのインストールを求めることを禁止すべきです。
SMBスキャン、強制認証、リレー行為の監視も不可欠です。
NTLMを使用している環境向けに、MicrosoftはSMB署名やExtended Protection for Authenticationなどの防御策を推奨しています。
ComparingHome Security Systems
これに加え、特にActive Directory証明書サービスやリレー攻撃の影響を受けやすいドメインインフラの周辺において、運用上可能な範囲でNTLMを縮小または無効化することも重要です。
★ どのセキュリティツールを削るべきか?1ページで採点する方法 — 「Inherited Security Stack Guide」をダウンロード
翻訳元: https://gbhackers.com/microsoft-teams-it-support-scam/
