セキュリティ研究者らは、外部のMicrosoft Teamsアカウントを悪用してIT部門のヘルプデスク職員になりすます「Spring Ring」と名付けられたソーシャルエンジニアリング攻撃キャンペーンを発見しました。
2026年1月から4月にかけて、このキャンペーンは複数業界の少なくとも10組織にわたり、150人以上の従業員を標的にしました。
攻撃者はMicrosoft Teamsの脆弱性を悪用したわけではありません。代わりに、職場のコミュニケーションツールに対して従業員が抱く信頼につけ込みました。
攻撃者は「IT Help Desk」「IT Assistance」「Support Staff」といった名称の外部Teamsアカウントを作成し、ダイレクトチャットや音声通話を通じて従業員に接触しました。
今回の攻撃は、攻撃者が従来型のフィッシングメールから手口をシフトさせつつあることを示しています。悪意あるリンクを送りつけて被害者がクリックするのを待つのではなく、Spring Ringの実行者は従業員と直接会話し、ソフトウェアの実行やファイルのダウンロードを説得しました。
攻撃者は、社内サービスに見えるよう偽装した.onmicrosoft.comアドレスを持つ、外部のMicrosoft 365テナントを使用しました。
その例として、「internal」「network」「infrastructure」「certified」「helpdesk」といった単語を含む名称が挙げられます。
脅威アクターはTeamsのチャットリクエストを送信した後、間を置かずに突然の音声通話を発信しました。この音声フィッシング技術はビッシングとも呼ばれ、攻撃者が企業のIT担当者になりすます上でより説得力のある手段となりました。
多くの通話はわずか数秒で終わるか、応答されないまま終わりましたが、やり取りに成功した場合の通話は10分から15分続くことが多く見られました。
これらの通話の中で、攻撃者はWindows Quick Assistを含む正規のリモート監視・管理ツールを起動させたり、攻撃者が用意したソフトウェアをダウンロードさせたりするよう従業員を説得しようとしました。
研究者らは、攻撃者が標的に対して繰り返し電話をかけ、時にはボイスメールを残しながら複数の従業員の間を素早く移り変わっていく様子を確認しています。この執拗さが、誰かが通話に応じて指示に従ってしまう可能性を高めていました。
今回のキャンペーンは、技術的な脆弱性の悪用ではなく人間の心理を操る手口に依存していました。デバイスに緊急のアップデートが必要だと主張する、いかにもプロらしい話し方をする電話の主は、疑わしいメールよりも説得力を持つ場合があります。特に、その依頼が広く使われているコラボレーションプラットフォームを通じて届く場合はなおさらです。
研究者らは、Teamsを使ったビッシングの誘導に続く2つの攻撃経路を特定しました。1つ目のキャンペーンでは、攻撃者は被害者を説得してリモートアクセスツールを実行させ、その後基本的なシステム調査やドメイン調査のコマンドを実行しました。
その後、攻撃者はPowerShellを使って、san-sid[.]comというドメインから難読化されたリモートアクセス型トロイの木馬をダウンロードしたと、Unit 42は述べています。
注記: IPアドレスおよびドメインは、誤って解決またはハイパーリンク化されるのを防ぐため、意図的に無害化（例: [.]）してあります。再度有効な形式に戻す作業は、MISPやVirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/teams-scammers-hit-150/
