Teams の外部チャットで「IT 担当者」を名乗る攻撃を止める
大量のニュースレター登録メールで困らせた直後に、表示名に「Internal」を付けた外部ユーザーが Teams で IT 担当者を装って接触し、Quick Assist などの遠隔操作や PowerShell 実行へ誘導する。外部アクセスを必要なドメインに絞り、ChatCreated イベントを起点に端末・認証ログとつなげて検知する。
手口（Arctic Wolf が 400 件超を分析）
- 既知の脆弱性ではなく、既定で有効な Teams の外部アクセスという正規機能を使ったなりすまし。
- 多くの事例で、大量のニュースレター登録メール（メール爆撃）と前後して「解決します」と接触。通話で遠隔操作ツールへ誘導、または PowerShell でのファイル取得・実行を指示。約 5 分で複数の利用者に接触し、応じると 15 分未満で不正プログラムの実行に至った例も。
- 攻撃者はチャットに URL を貼らず、遠隔操作中に取得する（チャットの URL 検査では見えない）。
- 攻撃用テナントは 30〜40% が既定の
onmicrosoft.comドメイン。最近は有料ドメインへ移り、その約 50% が.top、約 40% が.com。
対策
- 外部アクセスを許可リスト化: Teams 管理センターの外部アクセスを「業務で必要な組織のドメインだけ許可」にする。管理外の Teams（個人）アカウントとのチャットも遮断する。
- 未承認の遠隔操作ツールを制限: Quick Assist など、業務で使わない遠隔操作ツールをアプリ制御で止める。
- 確認手順を決めて周知: 遠隔操作の依頼は、既知の電話番号や別の信頼できる手段で本人確認してから。表示名の「Internal」を信用せず、Teams の外部ユーザー表示と送信元ドメインを見る。メール爆撃は「この後に IT を名乗る連絡が来る」合図として教える。
- 検知: 監査ログの
ChatCreated（外部ユーザーとの最初のチャット）を起点に、直後の遠隔操作ツールの起動、PowerShell の実行、新しいサインイン、メール爆撃の有無を突き合わせる。最初のやり取りが無害に見えても進行を追える。 - 侵害後のトークン関連の後片付けは Microsoft 365 のトークン窃取からの復旧は「パスワード再設定だけ」で終わらせない を参照。