Ti scrivono su Microsoft Teams? Potrebbe essere già troppo tardi

Gli attori delle minacce utilizzano Microsoft Teams per eseguire attacchi di phishing, sfruttando la familiarità visiva e del dominio per ingannare gli utenti. La compromissione degli account legittimi e l'uso di tecniche di ingegneria sociale sono comuni. Per difendersi efficacemente, è necessario combinare consapevolezza degli utenti con configurazioni severe e controlli centrati sull'identità.

Un dipendente riceve un messaggio su Microsoft Teams da un presunto fornitore di servizi IT. Il messaggio è contrassegnato come esterno, avvisa di un problema con l’account dell’utente e invita ad approvare una richiesta di autenticazione multifattore (MFA).

Ma dietro le quinte, però, la compromissione è già in corso.

Questo scenario illustra come gli attori delle minacce possano manipolare i dipendenti attraverso canali di comunicazione interni affidabili. Recentemente, gruppi come Cloaked Ursa (noto anche come APT29, Cozy Bear e Midnight Blizzard) hanno utilizzato account compromessi per inviare messaggi su MS Teams con link dannosi che reindirizzavano a pagine di raccolta credenziali. 

A dicembre 2025, UNC6692 invece, ha impersonato il personale dell’help desk IT utilizzando MS Teams.

L’ingegneria sociale basata su chat è in forte ascesa: nel primo quadrimestre del 2026, il 42% degli allarmi di phishing proveniva da strumenti di collaborazione, rispetto al 30% dei quattro mesi precedenti. Gli utenti sono più cauti con le email grazie a gateway intelligenti e simulazioni di phishing, ma meno con gli strumenti di collaborazione.

Unit 42 ha osservato degli attori di minacce che avviavano chat su MS Teams utilizzando tecniche per mascherare la loro identità. Alcuni usano domini typosquatted simili a fornitori affidabili o convenzioni di nomenclatura interne, mentre altri operano da tenant Microsoft 365 contro l’organizzazione bersaglio.

In molte organizzazioni, la federazione Teams è abilitata per default, permettendo agli utenti di comunicare con tenant esterni. In scenari avanzati, gli attori delle minacce compromettono account legittimi di fornitori o partner e sfruttano le relazioni di fiducia esistenti.

Microsoft Teams ha una funzione di protezione dall’impersonificazione che avvisa i destinatari dei messaggi esterni, ma la decisione finale spetta all’utente. Gli attori delle minacce contano sulla familiarità visiva e del dominio per impersonare entità affidabili, abbassando la diffidenza degli utenti.

Per difendersi, è necessario spostare l’onere dagli utenti e prevenire il maggior numero possibile di richieste di chat dannose. Cloaked Ursa ha successo non perché MS Teams sia insicuro, ma perché le impostazioni di comunicazione esterna sono spesso troppo permissive e gli utenti tendono a fidarsi degli strumenti interni.

La difesa più efficace combina una serie di fattori tra i quali la consapevolezza degli utenti e delle configurazioni severe e controlli centrati sull’identità. La formazione deve purtroppo evolversi oltre il tipico addestramento contro il phishing via email. Deve insegnare agli utenti a riconoscere i segnali, come questi specifici su MS Teams e a verificare le richieste attraverso canali separati.

Per proteggere la comunicazione su MS Teams, diventa quindi fondamentale configurare chi può interagire attraverso le chat.

Le impostazioni di configurazione controllano gli account non gestiti o personali, permettendo agli utenti esterni di avviare conversazioni se abilitate. Se possibile, questa funzione dovrebbe essere disabilitata per prevenire che utenti esterni inizino chat con utenti interni.

Microsoft consiglia di consultare la documentazione sulle Best Practices per una discussione più completa sulla configurazione della sicurezza di MS Teams.

Silvia Felici

Red Hot Cyber Security Advisor, Open Source e Supply Chain Network. Attualmente presso FiberCop S.p.A. in qualità di Network Operations Specialist, coniuga la gestione operativa di infrastrutture di rete critiche con l'analisi strategica della sicurezza digitale e dei flussi informativi.

Aree di competenza: Network Operations, Open Source, Supply Chain Security, Innovazione Tecnologica, Sistemi Operativi.

Visita il sito web dell'autore