Microsoft מפרטת איך תוקפים מנצלים את Teams, ואילו הגדרות עוצרות אותם
ב-7 באוקטובר 2025 פרסמה Microsoft מדריך שממפה 13 שלבי תקיפה דרך Teams, עם קבוצות תקיפה בשמן ועם רשימת הגדרות הגנה לזהות, למחשבים ול-Teams עצמה.
TL;DR בקצרה
- Microsoft Threat Intelligence פרסמה ב-7 באוקטובר 2025 מדריך על תקיפות דרך Teams, עם 13 שלבי תקיפה.
- הדפוס הנפוץ: הצפת מיילים, ואחריה פנייה ב-Teams בהתחזות לתמיכה טכנית והתקנת כלי גישה מרחוק.
- ההגדרות המרכזיות: הגבלת צ'אט ופגישות חיצוניים, חסימת PSTN נכנס והסרת Quick Assist.
- Microsoft מציגה גם אירועי Defender והטבלאות שבהן אפשר לצוד פעילות חשודה.
תוקפים משתמשים ב-Teams vishing כדי להתחזות לתמיכה טכנית ולהשתלט על מחשבים בארגון. Microsoft Threat Intelligence פרסמה ב-7 באוקטובר 2025 מדריך שממפה 13 שלבי תקיפה דרך Teams. המדריך מציע גם הגדרות שחוסמות את התוקפים.
לפי Microsoft, Teams הוא יעד בעל ערך גבוה. הוא מאפשר צ'אט, שיחות, פגישות ושיתוף מסך, ולכן הוא מושך פושעי סייבר וגם גופים מדינתיים.
Teams vishing: איך נראית ההתקפה
התרחיש הנפוץ מתחיל בהצפת מיילים. התוקף מציף את תיבת הדואר של העובד. אחר כך הוא פונה אליו ב-Teams ומציג את עצמו כתמיכה טכנית. Microsoft מתארת את המהלך, email bombing ואחריו Teams vishing, כשיטת כניסה ראשונית.
בשלב הבא התוקף מבקש מהעובד להפעיל כלי גישה מרחוק. Microsoft מזכירה כמה מקרים:
- Storm-1811: ב-2024 התחזתה לתמיכה טכנית והשתמשה בכלי ניהול מרחוק להפצת ReedBed.
- שותף של 3AM: לפי Sophos ממאי 2025, הוא הציף מיילים ואז התקשר ב-Teams בהתחזות לתמיכה. Microsoft מציינת שאולי זה שינוי מותג של BlackSuit.
- Midnight Blizzard: התחזתה לצוותי אבטחה ותמיכה כדי לגרום לקורבנות להזין קודי אימות.
- Trend Micro: בדצמבר 2024 התחזה תוקף ללקוח בשיחת Teams, ובסוף הוא התקין AnyDesk ו-DarkGate.
כדי להיראות אמינים, התוקפים רוכשים או מקימים tenants מזויפים. הם מוסיפים דומיין ומיתוג שמחקים מוקד תמיכה.
קבצים, הזמנות ופישינג: שיטות נוספות ב-Teams
TeamsPhisher הוא כלי ששולח קבצים זדוניים לארגונים שמתירים צ'אט חיצוני. Storm-1674 השתמשה בו להפצת DarkGate. Storm-0324 השתמשה בו ביולי 2025 להפצת JSSloader, עבור Sangria Tempest.
Storm-2372 התחזתה להזמנות לפגישות ב-Teams, כדי לבצע device code phishing. Microsoft מתארת גם איסוף מודיעין. כשצ'אט חיצוני לא מוגבל, נתוני הנוכחות של עובדים נחשפים לתוקפים.
אחרי הכניסה התוקפים גונבים אסימוני רענון, מנסים סיסמאות רבות ומציפים משתמשים בבקשות אימות. הם מחפשים בצ'אטים וב-OneDrive ו-SharePoint, ובסוף עוברים לסחיטה.
הגדרות נגד Teams vishing ופישינג
Microsoft ממליצה להגביל צ'אט ופגישות חיצוניים לדומיינים מורשים, או לחסום דומיינים מסוימים. היא ממליצה גם לחסום tenants של ניסיון ולמנוע צ'אט עם משתמשים שהארגון לא מנהל. אם אין צורך בשיחות PSTN נכנסות, אפשר לחסום אותן ברמת ה-tenant.
במחשבים עצמם היא ממליצה להשבית או להסיר את Quick Assist, אם אינו בשימוש. בנוסף יש להפעיל EDR במצב block, הגנת tamper וכללי ASR. בזהות היא מציעה מדיניות סיכון ב-Entra ID Protection, ו-PIM להרשאות מנהל לפי צורך.
לצוותי האבטחה יש ב-Defender טבלאות לציד פעילות חשודה בהודעות, בקישורים ובלחיצות עליהם, למשל MessageEvents ו-UrlClickEvents. בנוסף, Defender for Cloud Apps מזהה אירועים כמו צ'אט שיזם משתמש חיצוני חשוד.
מה זה אומר עבורכם
- הגבילו צ'אט חיצוני: אפשרו אותו רק לדומיינים מורשים. חסמו tenants של ניסיון, ומשתמשים שהארגון לא מנהל.
- חסמו PSTN נכנס: אם הארגון לא צריך שיחות מבחוץ ב-Teams, כבו אותן ברמת ה-tenant.
- הסירו Quick Assist: אם אין לו שימוש, השביתו אותו. הוא אחד הכלים שמבקשים מהקורבן להפעיל.
- קבעו כלל לתמיכה: תמיכה טכנית לא מבקשת התקנת כלי גישה בצ'אט. עובד שקיבל פנייה כזו יאמת אותה בערוץ אחר.
- הפעילו התראות וציד: עקבו אחרי צ'אט חיצוני חשוד ואחרי התקנת כלי גישה מרחוק. הדריכו עובדים לדווח על הודעות חשודות.
מה הלאה
Microsoft מזכירה שסימולציות פישינג ל-Teams עדיין בתצוגה מקדימה פרטית. עד שהן יגיעו, כדאי להדריך עובדים על הצפת מיילים והתחזות לתמיכה.
מקורות והרחבה
- Disrupting threats targeting Microsoft TeamsMicrosoft Threat Intelligence
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
