Ataques por chat externo de Teams: falso soporte TI en 15 min

El ataque tiene éxito porque fabrica el problema y luego ofrece la solución. Según los hallazgos de Arctic Wolf, los atacantes primero inundan el buzón de la víctima con cientos de confirmaciones de boletines y suscripciones en pocos minutos. Abrumado, el empleado recibe de pronto un mensaje de Teams de alguien que dice ser el soporte técnico y ofrece limpiar el problema.

Los nombres de remitente son deliberadamente comunes, por ejemplo "IT Service Desk" seguido de un nombre de pila. Arctic Wolf encontró que entre el 30 % y el 40 % de los casos usaron dominios predeterminados onmicrosoft.com, que no requieren verificación y pueden crearse en minutos. Los nombres de tenant suelen girar en torno a soporte, TI, administración, red o helpdesk, a veces con "365" al final.

Tres factores estructurales dificultan su contención. El acceso externo está abierto salvo que un administrador lo restrinja. La capacitación en concientización suele centrarse en el correo y no en el chat. Y el ataque es rápido: cuando se apunta a muchas víctimas en ventanas cortas, sugiere automatización, de modo que los defensores tienen minutos y no horas para reaccionar.

Cerrar esa brecha exige configuración coordinada del tenant, controles en los equipos y monitoreo, y ahí un equipo experimentado de servicios gestionados de TI marca la diferencia.

La cadena pasa del ruido en la bandeja de entrada al acceso con control del teclado en pocos pasos.

1. Bombardeo de correo. El buzón de la víctima se llena de confirmaciones de suscripción, lo que genera urgencia y confusión.
2. Contacto por Teams. En minutos llega un mensaje de una cuenta externa con nombre de mesa de ayuda, que ofrece ayudar con el problema del spam.
3. Acceso remoto. El supuesto técnico pide abrir una herramienta de soporte remoto. Quick Assist, integrada en Windows, es la opción más común, mientras que AnyDesk y ScreenConnect se usan para mantener la persistencia.
4. Ejecución de la carga. En algunos casos se indica al usuario ejecutar un comando de PowerShell o abrir un archivo descargado, y la carga se ejecuta en menos de 15 minutos desde el primer contacto.
5. Movimiento lateral. Desde el equipo comprometido, los atacantes exploran la red y, en algunos casos, avanzan hacia el despliegue de ransomware. Arctic Wolf señala que grupos como Black Basta han usado este método de acceso inicial.

Note lo que falta: no hay vulnerabilidad de software, ni adjunto malicioso, ni contraseña robada. La víctima abre la puerta voluntariamente, por eso aplicar parches no basta. La detección depende de identificar lanzamientos inusuales de herramientas remotas, actividad de PowerShell y nuevas conversaciones externas en Teams, una tarea propia de un SOC 24/7 con detección y respuesta gestionadas.

Endurecer el acceso externo de Teams elimina una vía de ataque muy rápida sin quitarle colaboración a su negocio. Con base en las defensas recomendadas en la cobertura del informe de Arctic Wolf, una línea base práctica es la siguiente:

• En el centro de administración de Teams, en acceso externo, elija "Permitir solo dominios externos específicos" y liste únicamente a los socios con los que trabaja activamente.
• Bloquee el chat con cuentas no administradas y de Teams para consumidores, y desactive la opción que permite a usuarios no administrados iniciar conversaciones.
• Bloquee la federación con tenants de prueba y active la configuración que permite a su equipo de seguridad administrar los dominios bloqueados.
• Restrinja Quick Assist a roles autorizados de TI y bloquee o elimine las herramientas de monitoreo y gestión remota no autorizadas.
• Capacite a los empleados sobre cómo los contacta el soporte de TI real y a leer la etiqueta Externo y el dominio real del remitente antes de responder.
• Active el reporte de usuarios finales de Microsoft para que los mensajes sospechosos de Teams lleguen rápido a su equipo de seguridad.

El caso de negocio es sencillo. Una sola sesión exitosa puede derivar en robo de datos, extorsión y días de interrupción, mientras que estos controles cuestan poco. Además respaldan objetivos de cumplimiento sobre control de acceso y comunicación con terceros, y ofrecen a los auditores un registro claro de cómo se gobierna la colaboración externa.

HIT Communications ayuda a las empresas a operar Microsoft Teams como plataforma de colaboración y de telefonía sin abrir puertas innecesarias. Con más de 30 años de experiencia en América Latina, Estados Unidos y Europa, vemos el panorama completo: el servicio de voz, la red y la capa de seguridad.

Nuestro equipo de Microsoft Teams Direct Routing y telefonía en la nube puede revisar la configuración de su tenant, la política de acceso externo y el esquema de llamadas. Nuestros servicios de ciberseguridad suman un centro de operaciones de seguridad 24/7, monitoreo de SIEM y detección y respuesta gestionadas, de modo que la actividad inusual de herramientas remotas se investigue en tiempo real. Para la higiene diaria, nuestros servicios gestionados de TI cubren políticas de equipos, control de aplicaciones y apoyo en capacitación de usuarios.

Como también operamos la conectividad subyacente, un solo socio responsable puede alinear políticas, monitoreo y respuesta desde el circuito hasta el escritorio.

Los ataques por chat externo de Teams demuestran que los atacantes ya no necesitan un exploit cuando pueden simplemente pedir acceso. Con más de 400 incidentes reportados y una ejecución de carga posible en menos de 15 minutos, esperar a un incidente para revisar la configuración de acceso externo es un mal negocio.

Empiece esta semana: restrinja los dominios externos, bloquee las cuentas no administradas, limite Quick Assist y recuerde a sus empleados que el soporte de TI real nunca les pedirá ejecutar comandos desde un chat externo desconocido. Si desea una revisión experta de su tenant de Teams o un SOC gestionado que vigile este comportamiento, contacte al equipo de HIT Communications y le ayudaremos a cerrar la brecha antes de que otro la encuentre.