Falso helpdesk su Microsoft Teams: malware in meno di 15 minuti

Prima la casella di posta si riempie di centinaia di newsletter e conferme di iscrizione mai richieste. Pochi minuti dopo, su Microsoft Teams, arriva il messaggio di un «tecnico IT» che si offre di risolvere il problema. È lo schema documentato da Arctic Wolf in oltre 400 incidenti e ripreso tra il 26 e il 27 ottobre 2026 da The Hacker News, Help Net Security, Infosecurity Magazine e Dark Reading: in alcuni casi, dal primo contatto all’esecuzione di codice malevolo passano meno di 15 minuti, e alcune intrusioni si sono chiuse con furto di dati e ransomware.

Il testo completo della ricerca è riportato soprattutto da Help Net Security: numeri e dettagli tecnici di seguito vengono da lì, mentre le altre testate confermano lo schema e i tempi.

Cosa è successo

L’attacco non sfrutta vulnerabilità di Teams. Usa una funzione legittima: l’accesso esterno (federazione), attivo per impostazione predefinita, che permette a un utente di un altro tenant Microsoft 365 di cercare, scrivere e chiamare i dipendenti di un’organizzazione, se entrambi i tenant lo consentono. Secondo i ricercatori è la funzione più abusata in questi casi, e spostare la conversazione su Teams aggira la diffidenza che i dipendenti hanno imparato ad avere verso le email.

Gli attaccanti preparano identità credibili:

• tra il 30 e il 40% dei casi usa tenant gratuiti onmicrosoft.com, creati in pochi minuti e senza verifica, con nomi come «helpdeskteam365» o «itcoreportal»;
• più di recente sono passati a domini a pagamento: circa il 50% su .top, circa il 40% su .com e poco più del 5% su domini di secondo livello come .com.pl, .com.vn e .com.br. Lo stesso passaggio era già stato descritto da Sophos nella campagna del ransomware Chaos;
• i nomi visualizzati aggiungono «(Internal)», anche se Teams segnala il mittente come esterno, o un nome proprio come «IT Service Desk (Matthew)»; nei casi più recenti contengono il nome o il dominio dell’azienda colpita, e alcuni messaggi sono nella lingua locale. Oltre 100 nomi contengono emoji (scudi, chiavi inglesi), che per Arctic Wolf potrebbero indicare identità generate con strumenti di IA.

Le testate ricordano che la tecnica non è nuova: Microsoft l’ha descritta a metà 2024 negli attacchi legati a Black Basta, e da allora è comparsa nelle operazioni di Cactus, 3AM e Chaos. Dark Reading ipotizza un collegamento della campagna attuale con Black Basta, senza attribuzione certa.

La catena d’attacco

1. Email bombing: la casella della vittima viene sommersa da iscrizioni e conferme.
2. Contatto su Teams da un tenant esterno, spesso verso più dipendenti nello stesso intervallo di circa cinque minuti: per i ricercatori è probabilmente automatizzato.
3. Chiamata vocale su Teams e richiesta di installare uno strumento di accesso remoto. Il più usato è Quick Assist, già presente in Windows: alla vittima basta leggere un codice di sei cifre. Compaiono anche AnyDesk e ScreenConnect, spesso come secondo accesso che resta dopo la rimozione del primo.
4. Nessun link in chat, dove verrebbe analizzato: i file malevoli li scarica l’attaccante durante la sessione remota.
5. Esecuzione: in un caso il falso tecnico ha fatto lanciare un comando PowerShell che ha avviato una catena di script nascosti; l’ultimo ha installato un impianto in Python che ha raccolto nomi e descrizioni di tutti gli account utente e computer di Active Directory e li ha inviati a server degli attaccanti.

In alcuni casi l’allarme per furto di credenziali è scattato insieme a quello per la prima chat su Teams: quando qualcuno ha guardato, la macchina era già compromessa.

Tecniche MITRE ATT&CK

Con quanto descritto, la catena rientra in: Email Bombing (T1667), Impersonation (T1656), Spearphishing via Service (T1566.003) e Spearphishing Voice (T1566.004), Remote Access Tools (T1219), PowerShell (T1059.001), Domain Account Discovery (T1087.002) ed Exfiltration Over C2 Channel (T1041), fino a Data Encrypted for Impact (T1486) nei casi con ransomware. Non ci sono CVE né indicatori pubblicati nelle fonti, oltre agli schemi di nomi e domini.

Impatto per le aziende europee e italiane

Qualsiasi organizzazione con Microsoft 365 e la federazione di Teams aperta è esposta, a prescindere dal settore. La rapidità lascia poco margine al rilevamento: la difesa deve stare soprattutto nella configurazione e nelle procedure.

Per i soggetti NIS2 (in Italia il d.lgs. 138/2024) formazione del personale, controllo degli accessi e gestione degli incidenti sono misure richieste, e un ransomware che interrompe i servizi può essere un incidente significativo da notificare al CSIRT Italia. L’elenco degli account di Active Directory, con nomi e descrizioni, contiene dati personali: la sua sottrazione va valutata come violazione ai sensi del GDPR.

Cosa fare subito

1. Limita l’accesso esterno di Teams: se non serve aprirlo a tutti, consenti le chat esterne solo con i domini dei partner (elenco consentito).
2. Blocca gli account Teams non gestiti e i tenant di prova nelle impostazioni di accesso esterno.
3. Riduci gli strumenti di accesso remoto: Quick Assist, AnyDesk, ScreenConnect e simili solo per il personale IT autorizzato, con controllo delle applicazioni sugli altri computer.
4. Dì chiaramente come ti contatta l’IT: il supporto vero non scrive da tenant esterni e non chiede di installare software di accesso remoto. Ogni richiesta si verifica su un canale interno noto.
5. Collega i segnali: un picco di email di iscrizione seguito da una chat esterna su Teams, l’avvio di Quick Assist o di nuovi software di accesso remoto, PowerShell con script concatenati, interpreti Python nelle cartelle utente e interrogazioni massive di Active Directory.
6. Prepara la risposta: chi riceve un contatto sospetto deve sapere a chi segnalarlo subito, e la macchina va isolata prima di indagare.

Come aiuta ARXDOME

Su computer e server con l’agent di ARXDOME, ARX Sentry raccoglie l’inventario di software, processi e porte: un AnyDesk o uno ScreenConnect comparso senza autorizzazione si vede. Le pagine del SOC mostrano eventi, accessi e desktop remoto, con le tattiche MITRE ATT&CK per macchina. Se una macchina è sospetta, ARX Shield la isola dalla rete con un clic e la rilascia solo quando è sicuro farlo.

Ultimo aggiornamento: 27 ottobre 2026