Hackers bury inboxes in spam then show up on Microsoft Teams posing as IT support

Los atacantes envían cientos de correos de suscripción y boletines a la bandeja de entrada de los empleados y, en pocos minutos, inician una conversación en Microsoft Teams usando la función de chat externo. Crean inquilinos de Microsoft 365 sin verificación (30‑40 % de los casos) o dominios de pago con extensiones .top (≈ 50 %) y adoptan nombres como “IT Support (Internal)” para aparentar ser parte del equipo interno.

Una vez que la víctima responde, el impostor pasa a una llamada de voz en Teams y solicita la instalación de software de acceso remoto, habitualmente Quick Assist, o herramientas comerciales como AnyDesk o ScreenConnect. En menos de 15 minutos se ejecuta un comando PowerShell que descarga un instalador MSI desde Azure Blob, despliega scripts que descifran contenido AES y, finalmente, un implante Python que consulta Active Directory y envía la lista de usuarios y equipos a servidores de comando y control.

Arctic Wolf recomienda desactivar la federación externa en Teams salvo para dominios de socios confiables, bloquear cuentas de inquilinos no gestionados y limitar el uso de Quick Assist y otras herramientas de acceso remoto al personal de TI autorizado. Además, se debe entrenar a los empleados para que verifiquen cualquier solicitud de soporte técnico mediante un número o portal oficial antes de conceder acceso.

Qué significa para una pyme colombiana y cucuteña: Desactive la opción de acceso externo en Microsoft Teams y permita chats solo con dominios de socios de confianza; restrinja Quick Assist y cualquier herramienta de acceso remoto a personal de TI autorizado y exija que los empleados confirmen por teléfono o portal interno cualquier solicitud de soporte que llegue por Teams.