Palo Alto NetworksのUnit 42脅威インテリジェンスチームによると、「Spring Ring」と名付けられた組織的なボイスフィッシング(vishing)キャンペーンが、Microsoft Teams上に偽のITサポートアカウントを設置し、従業員を騙してマルウェアをインストールさせたり、自分のコンピューターへのリモートアクセスを許可させたりしていたことが判明しました。
このキャンペーンは2026年1月から4月にかけて展開され、さまざまな業界の10社以上に所属する150人超の従業員に到達しました。
Unit 42の調査によると、攻撃者は「ITProtectionDepartment」や「MandatoryNetworkMonitoring」といった、社内のIT部門を思わせる名称で外部のMicrosoft Teamsテナントを登録していました。使用されたのは、Microsoft 365の顧客が通常自社組織向けに用いるonmicrosoft.com形式です。
一部の攻撃者は、電話口の技術者としての信憑性を高めるために、「ヘルプデスク」といった一般的な肩書きではなく、具体的な名前を使用していました。
研究者らは「脅威アクターは、正規の製品を悪意ある目的で頻繁に悪用または乗っ取ります。これは、製品自体に欠陥があったり侵害されていたりすることを意味するものではありません」と指摘しています。
Unit 42は、チャットや通話の試みの背後にいる26個の異なる攻撃者アイデンティティを特定しました。
チャットが承諾されると、攻撃者は電話をかけてきました。攻撃者がターゲットのリストを次々とこなしていく中で、着信を逃したり、通話がわずか数秒で終わったりすることも多くありました。研究者らは「通話が成立した場合、その長さは10分から15分に及ぶことが多い」と記しています。
ネットワークへの侵入経路は2通り
Unit 42は2つのキャンペーンを確認しており、いずれも同じ手口で始まり、マルウェア配布の段階で分岐します。
Spring Ringの2つのキャンペーンにおける攻撃フロー全体(出典: Palo Alto Networks)
一方のキャンペーンでは、電話をかけてきた攻撃者が被害者にQuick Assistの起動やリモートサポートソフトウェアのダウンロードを指示し、その後、端末の制御権を要求するという手口が使われました。接続が確立されると、攻撃者はユーザーのグループメンバーシップとドメインを確認するコマンドを実行し、続いてWindows標準搭載のマルウェアスキャン機能を無効化する難読化されたPowerShellスクリプトをダウンロードした後、コマンド&コントロール(C2)サーバーへの通信を開始しました。
もう一方のキャンペーンでは、被害者の会社名とユーザー名を含むファイル名でクラウドストレージ上にホストされたファイルへのリンクが送りつけられました。ダウンロードしたファイルを実行すると、ブラウザハイジャック、SMB経由での内部ネットワークのスキャン、そしてPetitPotamと呼ばれるツールを用いたMicrosoft NT LAN Manager(NTLM)リレー攻撃の試みが引き起こされました。
このリレー攻撃の狙いは、組織のドメインコントローラーに攻撃者が制御する端末への認証を行わせることであり、これが成功すればドメインレベルの権限を奪取できる可能性がありました。
両方の侵入の試みとも、攻撃者が目的を達成する前にUnit 42によって阻止されています。
フィッシングの経路と化すコラボレーションプラットフォーム
同社によると、Unit 42のテレメトリにおいて、コラボレーションプラットフォームに関連するフィッシングアラートは、2026年最初の4カ月間で全フィッシングアラートの42%を占め、その前の4カ月間の30%から増加しました。
研究者らは「一見正規に見える外部テナントとプロフェッショナルなvishingの手口を用いることで、攻撃者はほとんど抵抗を受けることなく、さまざまな業界にまたがる何百人もの従業員を標的にできる」と警告しています。
「こうした脅威が進化を続ける中、組織はコラボレーションプラットフォーム上での不審な外部からの連絡について、ユーザー教育を優先させる必要があります」
Palo Alto Networksは、このレポートとともに、攻撃者が管理するドメイン、IPアドレス、ファイルハッシュを含む侵害指標(IOC)を公開しました。
翻訳元: https://www.helpnetsecurity.com/2026/09/01/spring-ring-vishing-campaign-microsoft-teams/
