最初に確認したいのが、社外ユーザーとTeamsがやりとりできる範囲だ。Microsoft Threat Intelligenceが確認した攻撃では、攻撃者が別のテナントからTeamsのチャットや通話を開始し、社内の情シス担当者やヘルプデスクを装って従業員に接触した。「Microsoft Security Update」「Spam Filter Update」「Account Verification」といったもっともらしい固有名詞を提示し、ユーザーにリモート操作を許可するよう誘導していた。

　Microsoft Threat Intelligenceはその対策として、Teamsの外部アクセスを信頼できるドメインだけに制限することを挙げる。取引先やグループ会社などとの外部コミュニケーションが必要な企業も多いため、一律に禁止すればよいわけではない。重要なのは、「誰とでも外部チャットできる必要があるのか」を業務要件と照らして見直すことだ。

2．外部ユーザーであることを従業員が識別できる状態にする

　外部アクセスを許可する場合は、相手が社外のユーザーだと従業員が認識できるようにすることも重要だ。

　Teamsから情シスが連絡してくるという事態は、不審なメールが突然届くよりも、ユーザーの警戒心を薄れさせやすい。そこでMicrosoft Threat Intelligenceは、Teamsで社外ユーザーから連絡を受けた際に、相手が自社のユーザーではないことが画面上で分かるよう、外部ユーザーを示す表示や警告を有効にしておくことを企業に薦める。

　設定だけでなく、教育も必要だ。「情シスからTeamsで突然連絡が来た」「外部ユーザーからPC操作を求められた」といったケースを、社内のセキュリティ教育に盛り込むことが重要だ。

3．リモートサポートツールを誰でも使える状態にしない

　Teamsを経由した侵入を成立させるための鍵となるのが、従業員によるリモート操作の許可だ。

　Microsoft Threat Intelligenceによると、攻撃者はTeamsの画面共有機能でPCの操作権限を要求したり、Windowsのリモートデスクトップ支援ツール「Quick Assist」をユーザーに起動させて接続コードを入力させたりすることで、ユーザーに遠隔操作を許可させていた。操作権限を得た攻撃者は、PowerShellを使って悪意のあるMSIファイルをダウンロードし、バックドアを展開する。

　そこでMicrosoft Threat Intelligenceは、RMM（Remote Monitoring and Management：リモート監視と管理）ツールやリモートサポートツールを社内で限定し、その利用を監視するよう推奨している。

4．条件付きアクセスで「認証情報を持っているだけ」では入れないようにする

　攻撃者がPCを操作できたとしても、その端末やアカウントから自由に社内リソースへアクセスできなければ、被害の拡大を抑えられる。

　Microsoft Threat Intelligenceは、Microsoft Entra IDの「条件付きアクセス」機能を使い、MFA（多要素認証）に加えて、管理対象または準拠済みのデバイスであることなどをアクセス条件に設定することを推奨している。

　今回のような攻撃では、単にパスワードを盗むだけではなく、従業員がログイン済みのPCそのものを遠隔操作される。そのため「パスワードが漏えいしていないから安全」という前提だけでは不十分だ。IDとデバイスの両方をアクセス制御に組み込む設計が重要になる。

5．WinRMなど管理用プロトコルの利用範囲を制限する

　侵入後の横展開を防ぐために確認したいのが、Windowsの管理用プロトコルだ。

　Teamsを使った攻撃では、攻撃者がActive Directoryのユーザーやサーバを探索した後、リモート管理機能「Windows Remote Management」（WinRM）を使って多数のドメイン参加システムに接続していた。対象にはファイルサーバやデータベースサーバだけでなく、ドメインコントローラーや認証局も含まれていた。

　Microsoft Threat Intelligenceは、WinRMを利用できる端末を管理用ワークステーションなどに限定し、一般ユーザーのコンテキストや通常とは異なるプロセスからWinRM通信が発生した場合に検知できるようにすることを推奨している。

　攻撃者が1台のPCへの侵入に成功したとしても、そこから社内全体へ自由に移動できなければ被害は限定できる。Teamsの設定だけを見るのではなく、エンドポイント、ID、管理プロトコルまで含めて防御を設計する必要がある。

本稿は、Microsoftが2026年9月2日に公開したImpersonating IT support: how threat actors turn a remote session into enterprise-wide accessを基に作成しました。