Zowel Microsoft als de Belgische overheid waarschuwen voor aanvallen waarbij gebruik wordt gemaakt van Microsoft Teams. Safeonweb, een initiatief van het Centrum voor Cybersecurity België (CBB), zegt meerdere meldingen te hebben ontvangen van CEO-fraude via Teams. Bij de aanvallen worden medewerkers van organisaties via Teams benaderd door criminelen, die zich daarbij voordoen als CEO, bestuurder, aandeelhouder of andere leidinggevende.

De criminelen proberen het slachtoffer vervolgens een betaling te laten uitvoeren. Ook wordt geprobeerd om vertrouwelijke informatie of toegangsgegevens te verkrijgen. "De fraudeurs kennen bovendien details over de organisatiestructuur, bestuurders, aandeelhouders of interne vergaderingen. Daardoor kan het bericht erg overtuigend overkomen", aldus Safeonweb. Dat stelt dat vooral medewerkers die betalingen kunnen uitvoeren of toegang hebben tot gevoelige bedrijfsinformatie moeten opletten.

Safeonweb adviseert organisaties om de instellingen voor externe communicatie en gasttoegang in Microsoft Teams te controleren. "Beperk externe toegang waar dat niet nodig is en controleer regelmatig welke externe deelnemers toegang hebben tot vergaderingen en samenwerkingsomgevingen." Verder worden medewerkers aangeraden alert te zijn op Teams-berichten die van een leidinggevende afkomstig lijken te zijn.

"Authenticatiezinnen"
Microsoft maakt melding van een aanvalscampagne waarbij oplichters ook gebruikmaken van Teams, maar zich dan voordoen als de helpdesk. De Teams-gesprekken worden vanaf een externe tenant gestart. Volgens Microsoft weten de aanvallers slachtoffers zover te krijgen dat ze veiligheidswaarschuwingen van Teams negeren. De applicatie laat hierbij zien dat de persoon die contact opneemt van een externe organisatie afkomstig is en het om spam of phishing kan gaan.

Vervolgens wordt het slachtoffer door de aanvaller verleid tot het goedkeuren van een remote session. Zodra de remote session is opgezet installeren de aanvallers malware op het systeem en proberen zich lateraal naar andere systemen te bewegen. Volgens Microsoft moeten organisaties interne 'authenticatiezinnen' afspreken waarmee personeel de helpdesk kan herkennen. Ook moet er nooit remote toegang aan ongevraagde contacten worden verleend.

Verder moeten medewerkers elk ongevraagd Microsoft Team-gesprek dat beweert van de helpdesk afkomstig te zijn als verdacht beschouwen. Tevens kunnen organisaties externe toegang van Teams tot alleen vertrouwde domeinen beperken.