Truffa Microsoft Teams in Ascesa: finto IT e accesso remoto aprono la porta a ransomware e furto dati

Negli ultimi mesi si sta consolidando una tecnica di attacco basata su social engineering che sfrutta Microsoft Teams come canale di primo contatto. I criminali informatici abusano della funzione di chat esterne per avviare conversazioni con dipendenti di aziende che hanno consentito comunicazioni da domini esterni.

Il punto di forza non è una vulnerabilità software, ma la fiducia che gli utenti ripongono in messaggi che sembrano provenire dal reparto IT.

Lo schema ricorrente prevede identità fasulle create tramite nuovi tenant Microsoft 365, spesso con nomi che imitano help desk e supporto tecnico. Una quota significativa dei casi osservati utilizza domini onmicrosoft.com, il dominio di fallback generato automaticamente alla creazione di un tenant. I nomi scelti includono termini come helpdesk, itadmin o support portal, proprio per aumentare la credibilità e superare la diffidenza iniziale.

Per rendere l’attacco più efficace, la conversazione su Teams è spesso preceduta da email bombing, cioè un bombardamento della casella di posta con centinaia di conferme di iscrizione e newsletter. Questo rumore crea urgenza e confusione, e poco dopo arriva il messaggio del presunto IT Support che propone assistenza per risolvere il problema. In alcune varianti recenti gli aggressori inseriscono anche il nome dell’azienda bersaglio nel display name per sembrare interni.

Una volta ottenuta la risposta, gli attaccanti spingono la vittima ad avviare una sessione di accesso remoto usando strumenti legittimi di assistenza e RMM come:

• Quick Assist
• AnyDesk
• ScreenConnect
• TeamViewer
• Atera
• Zoho Assist
• NetSupport
• LogMeIn

Da quel momento possono operare hands-on-keyboard, fare ricognizione, distribuire ulteriori payload, muoversi lateralmente fino ai domain controller ed esfiltrare dati sensibili.

Per evitare controlli automatici, spesso non condividono link diretti in chat, che potrebbero attivare scansioni di sicurezza, ma guidano l’utente durante la sessione remota ad aprire manualmente risorse e scaricare file. In un caso, la vittima è stata istruita a eseguire un comando PowerShell per scaricare un installer MSI ospitato su Azure Blob Storage, che poi avviava script e componenti malevoli, inclusa raccolta di informazioni via LDAP da Active Directory e invio verso server esterni. L’obiettivo finale può includere malware persistente, furto dati e ransomware.