Teams悪用のITなりすまし攻撃やランサムウェア被害が急増、セキュリティ各社が最新動向を報告

要点

• Microsoftは、Teamsの外部通信機能を悪用してITサポートになりすまし、端末を完全に乗っ取る標的型攻撃について警告を発表した。

• Palo Alto Networks Unit 42は、攻撃グループ「Spring Ring」がTeamsの音声詐欺により10社150人以上の従業員を標的にしていた実態を報告した。

• Sophosの調査によると、ランサムウェア「The Gentlemen」による被害組織数が2026年7月末時点で累計683件に達し、7月単月でも169件増加した。

• Group-IBは、法執行機関によるドメイン差し押さえ措置後も、フィッシングサービス「Outsider」が活動を継続している実態を公表した。

• サイバーセキュリティ専門メディアのThe Hacker Newsは2026年9月3日、セキュリティ各社およびテック企業が発表した最新の脅威動向をまとめたレポートを公開した。報告によると、Microsoft Teamsを悪用して社内IT部門になりすますソーシャルエンジニアリング攻撃や、活動規模を急拡大させているランサムウェア組織の手口が相次いで確認されているという。正規の管理ツールや通信機能を悪用して組織内へ侵入を広げる手法が目立っており、各社が詳細な手口を公表している。

ITサポートを装いTeams経由で端末を制御する侵入手口

Microsoftのセキュリティチームは、攻撃者が人間主導で標的組織へ侵入する新たな攻撃キャンペーンを確認したと発表した。この攻撃では、ビジネスチャットツール「Microsoft Teams」の外部コラボレーション機能が悪用されている。

攻撃者は社内のITサポートやヘルプデスク担当者を装って標的の従業員に接触し、ソーシャルエンジニアリングを用いて対話型のリモートセッションを許可させる。標的がリモート監視・管理を行うRMM（Remote Monitoring and Management: IT管理者が端末を遠隔保守・管理するためのソフトウェア）ツールの接続を許可すると、攻撃者はPowerShellを実行して悪意のあるMSIパッケージを密かにダウンロード・インストールする。

このパッケージを通じてポータブル版のNode.jsランタイムと難読化されたJavaScriptインプラントが配置され、持続的なコマンド実行やC2（Command and Control: 攻撃者が感染端末を遠隔制御するための指令サーバー）との通信が確立されるという。

インプラントが展開された後、攻撃者は端末内およびActive Directory（企業ネットワーク内のユーザー認証や端末のアクセス権限を一括管理するシステム）の広範な偵察を実施する。さらに、デスクトップのスクリーンショットを定期的に取得しながら、信頼されたWindowsの正規バイナリを用いて追加のペイロードを実行し、リモート管理プロトコルのWinRM（Windows Remote Management: Windows端末同士で遠隔管理を行うための通信機能）を経由してドメインコントローラーなどの重要資産へと企業ネットワーク内を横断していく。Microsoftはこの侵入パターンについて、外部の攻撃者に社内インフラへの対話型アクセスを許すため、極めて影響度が高いと説明している。

10社150人以上を標的とした「Spring Ring」によるTeams音声詐欺

Palo Alto Networksの脅威インテリジェンスチーム「Unit 42」は、外部のMicrosoft Teamsアカウントを悪用した「Spring Ring」と呼ばれる組織的なソーシャルエンジニアリング活動を観測したと報告した。この作戦では、ITヘルプデスクを装った攻撃者が、2026年1月から4月にかけて複数の業界にわたる少なくとも10社、150人以上の従業員を標的に接触を試みていた。

攻撃は一見すると無害なTeams上のチャットから始まるが、実際にはVishing（ボイスフィッシング: 音声通話を用いて標的を信用させ、不正な操作を行わせる詐欺手法）通話へと誘導される。通話の中で攻撃者は被害者を誘導し、RMMツールや独自に作成されたカスタムマルウェアを実行させようとする。

Unit 42によると、さらに高度な攻撃事例では、Vishing通話から組織のドメインコントローラーを標的としたNTLMリレー攻撃（Windowsの標準認証プロトコルNTLMの情報を中継・悪用して不正アクセスを行う手口）へと発展したケースも確認されたという。これらの一連のチャットや通話の試行からは、攻撃側が使用した26種類の一意な攻撃者アカウントが特定されている。

被害組織が680件を超えた「The Gentlemen」ランサムウェア

セキュリティ企業Sophosは、「The Gentlemen」（同社での追跡名: Gold Sherwood）と呼ばれるランサムウェアオペレーションに関する詳細な分析レポートを発表した。報告によると、同グループによる被害組織の総数は2026年7月末時点で累計683件に達しており、2026年7月の1か月間だけでも新たに169件の被害が確認されたという。

Sophosの分析によれば、The Gentlemenの侵入活動には再現性の高い攻撃手順（プレイブック）が存在している。アフィリエイト（攻撃実行者）は、日和見的な初期アクセスから素早く権限昇格を行い、正規のリモートアクセス経路を悪用して信頼されたシステムパスにツールを配置する。その後、標的データを外部へ持ち出し、防御機能を積極的に回避した上でバックアップを妨害し、最終的にランサムウェアを展開して暗号化を行う。

また、実行犯はWindowsのネイティブユーティリティや商用・オープンソースのツールのほか、BYOVD（Bring Your Own Vulnerable Driver: 脆弱性のある正規のドライバーを持ち込んで悪用する手法）を用いたEDR（Endpoint Detection and Response: 端末内の不審な挙動を検知・対処するセキュリティ製品）無効化ツール、バックアップサービスの改ざんなどを駆使し、被害組織の環境に応じて柔軟に手口を変えながら暗号化前に被害を最大化させていると説明されている。

摘発後も活動を継続するフィッシング基盤「Outsider」

サイバーセキュリティ企業Group-IBは、PhaaS（Phishing-as-a-Service: フィッシング攻撃に必要な基盤やツールを有償提供するサービス）として知られる「Outsider」が、法執行機関による取り締まりを受けた後も依然として活動を継続している実態を報告した。

Outsiderは「ChenLun」と呼ばれる脅威アクターによって運営されており、これまでに法執行機関によって関連する多数のドメインが差し押さえ（テイクダウン）されている。しかし、そうした法執行機関の対策にもかかわらず、同プラットフォームは現在も耐性を保ちながら脅威として再浮上を続けているという。