Arctic Wolf observa más de 400 incidentes de abuso del chat externo de Teams

La invitación externa se disfraza de soporte interno

Arctic Wolf Labs dice haber analizado más de 400 incidentes con abuso del chat externo de Microsoft Teams: algunos buscaban suplantar a soporte de TI y otros entregar archivos maliciosos. La firma describe una pauta repetida de tenants desechables, mensajes con nombres como “IT Support (Internal)” y herramientas de asistencia remota. Es una cifra de casos observados por Arctic Wolf, no un recuento de víctimas únicas ni una prueba de infección en todos ellos.

El punto de entrada es la función legítima de acceso externo o federación, que permite que usuarios de distintos tenants de Microsoft 365 se encuentren, chateen o llamen. Microsoft documenta que el ajuste para permitir todos los dominios externos viene habilitado por defecto; para que el chat funcione, la configuración y la política de usuario de ambos lados también deben permitirlo. Arctic Wolf no describe una vulnerabilidad de Teams: los actores abusan de una opción de colaboración y de la confianza en el nombre visible.

-SecureCrew dice: la etiqueta “External” sigue ahí; el engaño consiste en vestir de “Internal” el nombre que aparece encima.-

Arctic Wolf observó que entre el 30 y el 40 por ciento de los casos analizados implicaban dominios predeterminados *.onmicrosoft.com, que se pueden provisionar con rapidez. Los atacantes suelen adornar el perfil con términos como “IT”, “Helpdesk” o “Service Desk”, a veces con un nombre propio o el de la empresa objetivo. El rótulo no convierte al remitente en personal interno: Teams sigue marcando como externo al usuario de otro tenant, aunque su nombre visible sugiera lo contrario.

En una parte de los incidentes, el contacto llegaba después de una avalancha de correos de suscripción: cientos de confirmaciones automáticas en pocos minutos, seguidas por un mensaje que se ofrecía a “resolver” el problema. Arctic Wolf interpreta ese bombardeo como una forma de crear urgencia y ocultar alertas legítimas. La secuencia no aparece en todos los casos, pero cuando coincide con un chat externo de soporte merece correlación.

El chat suele ser el comienzo, no el objetivo final. Arctic Wolf dice que los atacantes buscan que la persona instale una herramienta RMM (gestión y monitorización remota), por ejemplo Quick Assist, AnyDesk o TeamViewer, con frecuencia después de una llamada de voz dentro de Teams. En la actividad revisada aparecen tanto herramientas legítimas de soporte como la entrega de archivos maliciosos; que el software sea legítimo no acredita que la sesión lo sea.

-SecureCrew dice: Quick Assist no es el fallo; la pregunta útil es quién abrió la sesión, a petición de quién y tras qué conversación.-

En un caso descrito por Arctic Wolf, el usuario ejecutó un archivo descargado tras recibir instrucciones del supuesto helpdesk. Ese ejemplo concreto encadenó PowerShell, un instalador MSI alojado en Azure Blob Storage, un implante y consultas LDAP a Active Directory; la firma lo presenta como una cadena observada, no como el desenlace de los más de 400 incidentes. En algunos casos reportados por clientes, el acceso remoto y la ejecución de payload llegaron en menos de quince minutos.

Detectar el contacto y revisar la federación

Arctic Wolf sitúa el evento ChatCreated como una oportunidad temprana: registra la apertura del chat y puede aparecer antes de que la persona responda o instale nada. El proveedor recomienda correlacionarlo con el remitente externo, la identidad de su tenant, el volumen de correo previo y señales posteriores en endpoint o identidad. Es una oportunidad de investigación, no una detección que por sí sola identifique cada intento malicioso.

Las organizaciones que solo colaboran con socios conocidos pueden pasar de “permitir todos los dominios” a una lista de dominios externos aprobados. Microsoft aclara que, con una lista de permitidos, los demás dominios quedan bloqueados y que ambas organizaciones deben habilitar el acceso. Las conversaciones con cuentas personales o Teams no administrado tienen opciones separadas; conviene revisarlas junto con las políticas de usuario para saber quién puede recibir o iniciar chats.

Si la federación abierta responde a una necesidad real, las alertas sobre remitentes externos inesperados y nombres de helpdesk pueden acompañarse de revisión de ChatCreated y eventos de herramientas remotas. El ajuste debe conservar el acceso de los socios necesarios, así que una lista de permitidos requiere inventario y mantenimiento. Bloquear una función sin revisar dependencias puede cortar conversaciones legítimas sin resolver el riesgo de suplantación en canales que sigan abiertos.

-SecureCrew dice: restringir dominios sirve cuando la lista de socios tiene dueño; si nadie la mantiene, el control termina siendo un museo de excepciones.-

El informe no afirma que los 400 casos terminasen en robo de datos, ransomware o infección. La conclusión defendible es más precisa: el chat externo ofrece un canal de entrada verosímil, y en una parte de los casos Arctic Wolf observó pasos posteriores de acceso remoto y ejecución. La defensa gana tiempo si trata el contacto inesperado como una señal que debe validarse antes de conceder acceso.

Diccionario de la Crew

Acceso externo o federación — Configuración de Teams que permite la comunicación entre usuarios de organizaciones distintas bajo las políticas de ambos tenants.

RMM — Herramienta legítima de administración y soporte remoto que también puede dar control operativo a un atacante si una persona instala o autoriza una sesión engañosa.

ChatCreated — Evento de Teams que registra la creación de un chat y que Arctic Wolf propone vigilar como señal temprana.