Fałszywy „IT-owiec” na Microsoft Teams. Jak nie dać się oszukać?

Wyobraź sobie scenariusz: jest piątkowe popołudnie, pracownik odbiera wiadomość w Microsoft Teams od osoby podającej się za dział IT. Komunikat brzmi rutynowo – „wykryliśmy anomalie logowania, prosimy o zatwierdzenie prośby MFA”. Dla osoby, która kończy tydzień pracy, to prosta prośba. Tymczasem to początek przejęcia konta. Jak wynika z analizy zespołu Unit 42 firmy Palo Alto Networks, takie ataki są coraz częstsze i wymierzone właśnie w pracowników firm. Kluczowe jest zrozumienie mechanizmu i wdrożenie odpowiednich zabezpieczeń, zanim szkoda stanie się faktem.

Dlaczego komunikatory firmowe stały się celem?

Przez lata głównym kanałem ataków phishingowych była poczta elektroniczna. Filtry antyspamowe, szkolenia i symulacje phishingowe sprawiły, że pracownicy są bardziej wyczuleni na podejrzane maile. Cyberprzestępcy dostosowują się jednak do zmieniającego się krajobrazu. Jak wskazują badacze, w pierwszych czterech miesiącach 2026 roku aż 42% wszystkich alertów phishingowych w systemie Cortex dotyczyło narzędzi do współpracy, podczas gdy w poprzednim okresie było to 30%. To wyraźny sygnał, że zagrożenie przenosi się do komunikatorów takich jak Microsoft Teams.

Zaufanie do wewnętrznych narzędzi jest naturalne – pracownik nie spodziewa się ataku w kanale, który na co dzień służy do rozmów z zespołem. Atakujący to wykorzystują. Zamiast przełamywać zabezpieczenia techniczne, celują w człowieka, używając sprawdzonej społecznej inżynierii.

Jak wygląda typowy atak przez Teams?

Unit 42 opisuje kilka technik stosowanych przez napastników. W najprostszym wariancie osoba atakująca wysyła zaproszenie do czatu z zewnętrznego konta. Domyślnie federacja Teams jest włączona, co pozwala na komunikację z użytkownikami spoza organizacji. Wiadomość może być oznaczona jako zewnętrzna, ale małe ostrzeżenie łatwo przeoczyć, zwłaszcza gdy nadawca używa domeny łudząco podobnej do nazwy dostawcy usług IT lub wewnętrznego helpdesku.

W bardziej zaawansowanych przypadkach cyberprzestępcy kompromitują konta rzeczywistych partnerów lub dostawców usług, a następnie wykorzystują istniejące zaufanie, by wysyłać wiadomości z legalnie wyglądających domen. Ofiara nie widzi wtedy żadnych ostrzeżeń o zewnętrznym pochodzeniu. „The message looks routine and is in MS Teams, not email. The worker accepts the message” – czytamy w raporcie. Gdy rozmowa się rozpocznie, fałszywy technik prosi o zatwierdzenie wyzwania MFA, tłumacząc to koniecznością weryfikacji tożsamości. W rzeczywistości napastnik przechwytuje sesję lub poświadczenia.

Badacze zwracają uwagę, że grupy takie jak Cloaked Ursa (znana też jako APT29) skutecznie wykorzystały tę technikę już w 2024 roku, a w grudniu 2025 roku inna grupa, UNC6692, również stosowała Teams do podszywania się pod personel IT.

Kto jest narażony i jakie są konsekwencje?

Zagrożenie dotyczy każdej organizacji używającej Microsoft Teams – od małych firm po duże przedsiębiorstwa. Skutki udanego ataku mogą być poważne: przejęcie skrzynki pocztowej, dostęp do poufnych dokumentów, a w dalszej perspektywie – atak na łańcuch dostaw lub wstrzyknięcie złośliwego oprogramowania. Ofiarą może paść każdy pracownik, nie tylko osoby z działów finansowych czy kadr. Wystarczy jeden nieostrożny krok.

Co istotne, atak nie wymaga zaawansowanych umiejętności technicznych. Narzędzia są gotowe, a głównym wektorem jest zaufanie. Jak podkreślają analitycy Unit 42: „Threat actors know this and use collaboration tools for phishing, with Microsoft Teams being one of those tools”.

Jak skutecznie się bronić?

Ochrona przed tym typem ataku wymaga połączenia świadomości użytkowników i zmian technicznych. Oto najważniejsze kroki, które powinna podjąć każda organizacja:

• Szkolenia wykraczające poza e-mail. Pracownicy muszą wiedzieć, że wiadomość w Teams może pochodzić spoza firmy, a każda nieoczekiwana prośba o akcję (MFA, reset hasła) powinna być zweryfikowana innym kanałem – telefonem do helpdesku lub zgłoszeniem w systemie ticketowym.
• Ograniczenie federacji. Zamiast pozostawiać ustawienie domyślne zezwalające na komunikację z każdą domeną, administratorzy powinni skonfigurować listę dozwolonych domen (Allow list). W praktyce wiele firm może bezpiecznie wyłączyć komunikację z niezaufanymi tenantami.
• Blokada kont niezarządzanych. W ustawieniach Teams można wyłączyć możliwość inicjowania czatów przez użytkowników z osobistymi, niezarządzanymi kontami Microsoft. Jeśli model biznesowy na to pozwala, warto tę opcję wyłączyć.
• Wzmocnienie ochrony tożsamości. Polityki dostępu warunkowego (Conditional Access) i zarządzanie tożsamością uprzywilejowaną (Privileged Identity Management) ograniczają skutki nawet w przypadku przejęcia pojedynczego konta. Warto również włączyć funkcję ochrony przed podszywaniem się w Teams.

Nie można też zapominać o monitoringu. Każda próba inicjacji zewnętrznego czatu powinna być logowana i analizowana pod kątem anomalii. Im szybciej organizacja wykryje podejrzaną aktywność, tym łatwiej przerwać atak w zarodku.

Podsumowanie

Ataki przez Microsoft Teams to realne i rosnące zagrożenie. Cyberprzestępcy, w tym zaawansowane grupy APT, przestawiają się na komunikatory, bo tam łatwiej oszukać człowieka. Obrona nie polega na zakazie używania Teams, ale na rozsądnym połączeniu konfiguracji technicznej i edukacji. Administratorzy powinni niezwłocznie przejrzeć ustawienia federacji i dostępu zewnętrznego. Pracownicy zaś muszą wiedzieć, że nawet w firmowym czacie obowiązuje zasada ograniczonego zaufania. W razie wątpliwości – lepiej przerwać rozmowę i sprawdzić tożsamość rozmówcy tradycyjną drogą.