Oltre 400 incidenti informatici sono stati analizzati dalla società di sicurezza Arctic Wolf Labs, che ha documentato come i criminali informatici sfruttino le chat esterne di Microsoft Teams per impersonare il personale di supporto IT e ottenere un primo accesso agli ambienti aziendali. L'attività, resa nota oggi, non sfrutta vulnerabilità della piattaforma ma la fiducia degli utenti e la possibilità di avviare conversazioni tra organizzazioni diverse, funzione consentita per impostazione predefinita.
Gli aggressori creano identità come "IT Support" o "Help Desk Manager" tramite tenant Microsoft365 nuovi o acquisiti, spesso con domini .onmicrosoft.com, .top o .com. Dopo un contatto iniziale, convincono il dipendente ad avviare sessioni di assistenza remota con strumenti come Quick Assist, AnyDesk, TeamViewer o ScreenConnect, oppure a eseguire comandi PowerShell che installano impianti malevoli per raccogliere informazioni su utenti e computer.
Tra le contromisure indicate figurano la limitazione dell'accesso esterno di Teams ai soli domini autorizzati, il blocco delle comunicazioni da account non gestiti, la restrizione di Quick Assist e la verifica di ogni richiesta di assistenza remota non sollecitata tramite un canale indipendente.
Commenti
Accedi con Telegram per commentare.
Commenti e responsabilità. Questo spazio è per discutere, non per convincere: le opinioni sono di chi le scrive, e qui si può contestare anche quello che abbiamo scritto. Passiamo a leggere tutti i commenti prima di pubblicarli, quindi il tuo può metterci un po' a comparire — è il tempo che ci serve per tenere la conversazione civile. Diamo per scontato un atteggiamento corretto; se qualcosa sfugge, lo togliamo. Quanto sopra vale come esclusione di responsabilità per i contenuti degli utenti ai sensi della normativa applicabile.