C
月内に
攻撃者がMicrosoft TeamsでITサポートを装い、社員を騙してWindowsの「クイックアシスト」によるリモート操作権限を取得する手法
📌 一言でいうと
攻撃者がMicrosoft TeamsでITサポートを装い、社員を騙してWindowsの「クイックアシスト」によるリモート操作権限を取得する手法が確認されました。侵入後、攻撃者は不適切に設定されたActive Directory 証明書サービス (AD CS) を悪用し、ドメインコントローラーを含む特権アカウントのログイン証明書を窃取しました。Microsoftの調査では、この手法により社内データが外部サーバーにコピーされた事例が報告されています。
🔍該当判定
- 社内でMicrosoft Teamsを利用しており、外部ユーザーからのチャット受信を許可している
- Windows標準のリモート操作ツール「クイック アシスト (Quick Assist)」を社内で利用可能にしている
- 社内ネットワークで「Active Directory 証明書サービス (AD CS)」を構築・運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. 社員に対し、Teamsでの不審な連絡や、クイックアシスト等のリモート操作ツールの安易な利用を禁止する教育を実施すること。 2. AD CSの設定をレビューし、特権証明書を容易に取得できる不適切なテンプレート設定を修正すること。 3. 外部テナントからのTeams連絡を制限する設定を検討すること。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】ITサポートを装った不審な連絡への注意について
お疲れさまです。情報システム担当です。
最近、Microsoft TeamsでITサポートを装い、PCのリモート操作を要求して情報を盗み出す攻撃が確認されています。
ご協力をお願いしたいこと:
1. TeamsでITサポートを名乗る人物から連絡があっても、指示に従って「クイックアシスト」などのリモート操作ツールを起動し、コードを教えないでください。
2. IT部門からの連絡であるか疑わしい場合は、必ず社内の正規ルート（電話やチャットの既知の担当者）で確認してください。
対応期限: 本日中（周知徹底をお願いします）
お疲れさまです。情報システム担当です。
最近、Microsoft TeamsでITサポートを装い、PCのリモート操作を要求して情報を盗み出す攻撃が確認されています。
ご協力をお願いしたいこと:
1. TeamsでITサポートを名乗る人物から連絡があっても、指示に従って「クイックアシスト」などのリモート操作ツールを起動し、コードを教えないでください。
2. IT部門からの連絡であるか疑わしい場合は、必ず社内の正規ルート（電話やチャットの既知の担当者）で確認してください。
対応期限: 本日中（周知徹底をお願いします）
Subject: [Security Alert] Beware of Fake IT Support Requests on Microsoft Teams
Hi everyone,
We have observed attacks where hackers pose as IT support on Microsoft Teams to trick employees into giving them remote control of their computers.
What we need you to do:
1. Never launch remote assistance tools (like Quick Assist) or share connection codes with anyone on Teams, even if they claim to be from IT support.
2. If you receive a suspicious request, please verify it through official company channels or contact your manager immediately.
Deadline: Immediate
Hi everyone,
We have observed attacks where hackers pose as IT support on Microsoft Teams to trick employees into giving them remote control of their computers.
What we need you to do:
1. Never launch remote assistance tools (like Quick Assist) or share connection codes with anyone on Teams, even if they claim to be from IT support.
2. If you receive a suspicious request, please verify it through official company channels or contact your manager immediately.
Deadline: Immediate