Un informe de Microsoft describe dos incidentes en los que los atacantes utilizaron mensajes y llamadas de Microsoft Teams para hacerse pasar por personal de TI o de asistencia técnica. Convencieron a empleados de concederles acceso remoto, principalmente mediante Quick Assist, y luego obtuvieron acceso directo a estaciones de trabajo corporativas.
Los atacantes guiaron a los usuarios para que abrieran Quick Assist y compartieran un código de conexión. Una vez conectados, instalaron software mediante entornos de ejecución de Python, Bun o Java, accedieron a redes y configuraron la autenticación, según el informe. Los incidentes se basaron en que los empleados confiaran en comunicaciones que parecían provenir del personal de soporte de su lugar de trabajo, y no en vulnerabilidades del propio Teams.
Microsoft dijo a CNET que está introduciendo una detección de phishing basada en IA que utiliza el contexto de las conversaciones para identificar el phishing y la ingeniería social en situaciones de mayor riesgo, especialmente en chats de primer contacto con usuarios externos. La hoja de ruta de la empresa también incluye opciones para denunciar invitaciones sospechosas de invitados y difuminar códigos QR enviados por remitentes externos.
Microsoft recomienda a los usuarios verificar la identidad de los remitentes externos y comprobar las solicitudes antes de actuar. Los administradores pueden bloquear a usuarios externos de Teams y limitar qué personas de su organización pueden chatear o reunirse con contactos ajenos a la empresa.
Yu Cai, director asociado del Instituto de Computación y Cibersistemas de Michigan Tech, dijo que la ingeniería social dirigida por personas sigue siendo una amenaza importante para la ciberseguridad. Añadió que herramientas de IA como la clonación de voz y los videos deepfake pueden hacer que estos ataques sean más convincentes, aunque los incidentes de Teams demostraron que un método aparentemente sencillo puede bastar para obtener acceso.
Fuentes: CNET.