Fałszywy „IT-owiec” na Microsoft Teams. Nowa fala ataków socjotechnicznych

Coraz więcej ataków phishingowych przenosi się z poczty elektronicznej na komunikatory firmowe. Oszuści podszywają się pod dział IT w Microsoft Teams, by wyłudzić dane logowania lub wymusić zatwierdzenie fałszywego żądania uwierzytelnienia wieloskładnikowego (MFA). Zagrożenie jest realne – badacze z Unit 42 ostrzegają, że w pierwszych czterech miesiącach 2026 roku alerty phishingowe związane z narzędziami do współpracy stanowiły 42% wszystkich zgłoszeń w systemie Cortex, podczas gdy w poprzednich czterech miesiącach było to 30%. Atakujący wykorzystują zaufanie, jakim użytkownicy darzą wewnętrzne narzędzia komunikacji.

Jak wygląda atak na Microsoft Teams?

Mechanizm jest prosty, ale skuteczny. Pracownik otrzymuje wiadomość w Microsoft Teams od osoby podającej się za przedstawiciela działu IT. Komunikat jest oznaczony jako zewnętrzny, ale treść brzmi rutynowo: „Widzimy problem z twoim kontem” lub „Wykryto anomalie logowania”. Ofiara akceptuje rozmowę, a rzekomy technik prosi o zatwierdzenie promptu MFA w celu „potwierdzenia tożsamości”.

Jak wskazują analitycy Unit 42, grupa Cloaked Ursa (znana też jako APT29, Cozy Bear czy Midnight Blizzard) z powodzeniem wykorzystała tę technikę już w 2024 roku, wysyłając linki do stron wyłudzających dane logowania. W grudniu 2025 roku inna grupa, UNC6692, również stosowała Teams do podszywania się pod helpdesk. Atakujący często rejestrują domeny łudząco podobne do nazw zaufanych dostawców lub używają dzierżaw Microsoft 365, które nie mają żadnego związku z firmą ofiary, ale ich nazwy sugerują funkcję IT.

Dlaczego to działa?

Pracownicy są coraz lepiej szkoleni w zakresie phishingu e-mailowego. Bramki pocztowe skutecznie filtrują podejrzane wiadomości. Jednak komunikatory firmowe wciąż pozostają obszarem słabiej chronionym. W wielu organizacjach federacja Teams jest domyślnie włączona, co pozwala użytkownikom zewnętrznym na inicjowanie rozmów. Oznacza to, że każdy – w tym potencjalny atakujący – może wysłać wiadomość do pracownika, jeśli tylko zna jego adres e-mail.

Microsoft Teams wyświetla wprawdzie oznaczenie, że nadawca jest zewnętrzny, ale użytkownicy często je ignorują, zwłaszcza gdy wiadomość wygląda na służbową. „Threat actors count on this combination of visual and domain familiarity to impersonate trusted entities” – zauważają badacze. Innymi słowy, oszuści liczą na to, że znajoma nazwa domeny i profesjonalny ton uśpią czujność.

Jak się bronić przed phishingiem w Teams?

Ochrona przed tego typu atakami wymaga połączenia świadomości użytkowników z odpowiednią konfiguracją techniczną. Oto kluczowe zalecenia:

• Szkolenia wykraczające poza e-mail – pracownicy powinni wiedzieć, że wiadomości w Teams mogą pochodzić z zewnątrz i nie są automatycznie bezpieczne. Warto przeprowadzać symulacje ataków z użyciem komunikatora.
• Ograniczenie federacji – jeśli organizacja nie potrzebuje komunikacji ze wszystkimi dzierżawami zewnętrznymi, warto skonfigurować listę dozwolonych domen. W praktyce oznacza to wybór opcji „Zezwalaj tylko na określone domeny zewnętrzne” w ustawieniach Teams.
• Wyłączenie komunikacji z kontami niezarządzanymi – ustawienie „Osoby w mojej organizacji mogą komunikować się z niezarządzanymi kontami Teams” powinno być wyłączone, jeśli nie jest niezbędne.
• Wzmocnienie ochrony tożsamości – polityki dostępu warunkowego (Conditional Access) oraz zarządzanie uprzywilejowanymi rolami za pomocą modelu just-in-time (np. Entra Privileged Identity Management) mogą ograniczyć skutki ewentualnego przejęcia konta.
• Monitorowanie inicjowania rozmów zewnętrznych – zdarzenia takie powinny być logowane i analizowane przez zespół bezpieczeństwa.

Co dalej?

Phishing w komunikatorach firmowych to nie chwilowa moda, ale trwały trend. Atakujący będą coraz częściej celować w narzędzia, którym użytkownicy ufają najbardziej. Dla administratorów i działów IT oznacza to konieczność przeglądu domyślnych ustawień Teams i wdrożenia bardziej restrykcyjnych zasad federacji. Dla zwykłych pracowników – zasadę ograniczonego zaufania: nawet jeśli wiadomość wygląda na wewnętrzną, warto zweryfikować jej autentyczność przez inny kanał, na przykład dzwoniąc do helpdesku.