【ITニュース解説】The fake IT desk inside Teams: 400 incidents where a chat became remote access

今回のニュースは、ビジネスで広く利用されているコミュニケーションツールであるMicrosoft Teamsを悪用した、巧妙なサイバー攻撃の手口について解説する。システムエンジニアを目指す皆さんにとって、このような攻撃がどのように行われ、どのような対策が必要かを知ることは、セキュリティ意識を高め、将来のシステム設計や運用に役立てる上で非常に重要である。

この攻撃は「The fake IT desk inside Teams」（Teams内の偽のITサポートデスク）と呼ばれ、攻撃者が企業内の従業員を狙い、偽のITサポート担当者を装ってリモートアクセスを奪うというものだ。セキュリティ企業のArctic Wolfの調査によると、400件以上の同様のインシデントが確認されており、被害者が攻撃者のメッセージに返信してから、実際にリモートでパソコンを操作されるまでの時間は、最短で15分以内という非常に短い時間で完了していたことが明らかになった。

この攻撃が可能な背景には、Microsoft Teamsの「外部アクセス」機能がデフォルトで有効になっているという点がある。この機能は、異なるMicrosoft 365サービスを利用している企業同士でも、お互いの従業員がTeamsを通じてチャットや通話ができるように設計されている。これは業務提携やプロジェクト連携をスムーズにするための便利な機能だが、同時に悪用されるリスクもはらんでいる。組織が明示的に設定を変更しない限り、他の企業のTeamsユーザーは、あなたの会社の従業員を検索し、チャットを開始したり、通話をかけたりすることができてしまうのだ。

攻撃者はこの外部アクセス機能を悪用し、あたかも自社のITサポート部門であるかのように見せかける。具体的には、Microsoft 365の試用版など、簡単に取得できるonmicrosoft.comというドメインのテナントを悪用するケースが全体の30〜40%を占めていた。彼らは、そのテナント名に「support」「IT」「admin」「network」「helpdesk」といったIT関連の単語を含め、さらに「365」という数字を付け加えることもある。そして、表示名には「IT Service Desk - Liam」のように、あたかも実在するサポート担当者のような名前を設定する。これにより、受信者は、外部からの連絡である「外部」というタグが表示されていても、送信者が自社のIT部門であると誤認しやすくなる。ごく一部のケースでは、実際の企業名に近いテナント名を使用し、受信者にとってさらに見分けがつきにくくする手口も確認されている。

具体的な攻撃の手順は非常に巧妙だ。まず、攻撃者は被害者のメールボックスに大量のニュースレターや購読確認メールを一斉に送りつける「メール爆弾」という手法を用いる。これにより、被害者のメールボックスは一時的に混乱し、解決すべき「問題」がある状態を作り出す。その直後、Teamsに偽のITサポートからのメッセージが届く。このメッセージは、「メールの不具合を直してあげましょう」といった内容で、まさに先ほど発生したメールの大量受信という問題を解決してくれるかのように思わせるのだ。

被害者がこのメッセージに応じてしまうと、攻撃者はリモート監視および管理（RMM）ツールを使って、被害者のパソコンを遠隔操作しようとする。最も多く使われるのは、Windowsに標準搭載されており、インストール不要で利用できる「Quick Assist」というツールだ。攻撃者は、被害者にQuick Assistの起動を促し、画面共有やリモート操作の許可を求める。一度リモートアクセスが確立されると、攻撃者は永続的なアクセスを確保するため、AnyDeskやScreenConnectといった商用のRMM製品をインストールさせようとすることもある。そこから先は、PowerShellスクリプトの実行や、ダウンロードした悪意のあるファイルの起動を被害者に誘導し、最終的には社内ネットワークへの侵入（ラテラルムーブメント）や、ランサムウェアの展開に繋がるケースも確認されている。

この攻撃の恐ろしい点は、そのスピードにある。被害者がTeamsのメッセージに返信してから、攻撃者のペイロード（悪意のあるコード）が実行されるまでわずか15分。これは、ユーザーが不審に思い、立ち止まって考える時間を与えないように設計されている。普段から信頼しているコミュニケーションチャネルであるTeamsで、困っている状況にITサポートが迅速に対応してくれる、という状況が生まれるため、ユーザーは疑うことなく指示に従ってしまう可能性が高い。

このような攻撃から組織を守るためには、複数の対策を講じることが重要である。Arctic Wolfはいくつかの具体的な対策を推奨している。

まず「外部アクセス」の管理だ。Teamsの管理者設定において、外部アクセスを「特定の外部ドメインのみを許可する」ように設定することで、チャットできる相手を信頼できるパートナー企業に限定できる。また、管理されていないMicrosoft 365テナントや、Teams個人アカウントとのチャットをブロックし、それらのユーザーが自社の従業員に会話を開始できないように設定することも有効だ。さらに、試用版テナントなど、安価に用意できるインフラからの接続をブロックすることも重要である。万が一攻撃が発生した場合に備え、セキュリティチームがブロックすべきドメインを迅速に追加・管理できるような体制を整えることも不可欠である。

次に、リモートアクセスに使われる「Quick Assist」などのRMMツールへの対策だ。Quick Assistのようなツールは、Windowsに標準で搭載されており、ITサポートの場面で非常に便利だが、悪用されると危険な側面も持つ。これを許可されたIT担当者のみが使用できるように制限したり、承認されていないRMMツールのインストールや使用をブロックまたはアンインストールしたりすることで、攻撃者が利用する主要な手段を奪うことができる。この対策は、たとえ従業員が攻撃者のなりすましに気づけなかったとしても、ツールの利用を制限することで被害を防ぐことができるため、非常に効果的だ。

そして、「ユーザーによる報告」も重要な検出経路となる。Microsoft Teamsには、従業員が不審なメッセージや外部ユーザーを簡単に報告できる機能がある。攻撃の初期段階、つまり悪意のあるプログラムがまだ実行されていない時点で、従業員が不審なチャットを報告できれば、被害が拡大する前に対応できる可能性が高まる。

Teamsのメッセージに表示される「外部」というタグについても注意が必要だ。このタグは、メッセージの送信者が自社のテナント外のユーザーであることを示すが、それが自社のIT部門ではないことまでは証明しない。なぜなら、攻撃者は自由にテナント名や表示名を設定できるからだ。そのため、従業員向けのセキュリティトレーニングでは、実際のITサポートがどのような方法で連絡を取るのか、正規の連絡はどのドメインから来るのか、といった具体的な情報を明確に伝える必要がある。しかし、トレーニングだけでは限界があるため、RMMツールの制限のような技術的な対策と組み合わせて実施することが不可欠である。

今回の調査で明らかになった400件という事例数は、Teamsを悪用したこのような攻撃が単なる偶発的な迷惑行為ではなく、組織的なキャンペーンとして大規模に行われていることを示している。それぞれの攻撃は、Teamsという、本来コミュニケーションを円滑にするために設計されたプラットフォームを通じて開始されたのだ。システムエンジニアを目指す皆さんは、システムの利便性とセキュリティリスクは常に表裏一体であることを理解し、今回のような攻撃の手口とその対策を深く学ぶことで、より安全で堅牢なシステムを構築し、運用できるようになるだろう。