Arctic Wolf, varsayılan olarak açık olan Teams dış sohbetinin uzaktan erişime dönüştüğü 400 olayı ayrıntılarıyla anlattı

Microsoft Teams dış erişimi varsayılan olarak etkinleştirir; böylece diğer Microsoft 365 tenant'larındaki kişiler, iki taraf da buna izin verdiği sürece çalışanlara sohbet veya arama yoluyla ulaşabilir. Arctic Wolf, saldırganların bu varsayılan ayarı kötüye kullanarak BT desteği gibi davrandığı ve ilk yanıttan itibaren 15 dakikanın altında kurbanın makinesinin uzaktan kontrolünü ele geçirdiği 400'den fazla olayı belgeledi.

Araştırma, bulguların dev.to üzerindeki bir yazısına göre 26 Ekim 2026'da yayımlandı. Saldırganlar art arda birden fazla kurbanı hızla etkiledi; araştırmacılar bunu otomasyona işaret olarak yorumluyor. Arctic Wolf dahil olan grupların adını vermedi, ancak Black Basta dahil fidye yazılımı ekiplerinin daha önce dış Teams sohbetini bir giriş yolu olarak kullandığına dikkat çekti.

Tenant bir kamuflaj olarak

Olayların yüzde 30 ile 40'ı, herkesin dakikalar içinde doğrulama olmadan kaydedebildiği varsayılan onmicrosoft.com tenant alan adlarına dayanıyordu. Saldırganlar tipik olarak "support", "IT", "admin" veya "helpdesk" gibi bir kelimenin etrafına, bazen "365" ekleyerek bir tenant adı kurdular ve bunu sıradan bir isimle birleştirerek göndereni "IT Service Desk - Liam" gibi gösterecek şekilde ayarladılar. Birkaç vakada tenant adı gerçek bir şirketin adını içeriyordu ve bu da alıcının karar vermesini zorlaştırıyor: dış etiketi görünür, ancak ad tanıdık geliyor.

Posta gürültüsü tuzağı kuruyor

Olayların önemli bir bölümünde saldırganlar önce kurbanın gelen kutusunu dakikalar içinde yüzlerce abonelik ve bülten onay mesajıyla doldurdu. Kısa bir süre sonra gelen Teams mesajı bu gürültüyü çözmeyi teklif ediyordu; böylece saldırganın sonra çözmeyi teklif edebileceği bir sorun üretilmiş oluyordu.

Sohbetten kontrole

İzinsiz girişlerin çoğu, uzaktan izleme ve yönetim (RMM) yazılımları aracılığıyla doğrudan erişime geçti; en sık kullanılanı, kurulım gerektirmeyen Windows'a yerleşik Quick Assist oldu. Saldırganlar ilk oturumdan sonra da kalmak istediğinde AnyDesk veya ScreenConnect gibi ticari ürünlere geçtiler. Buradan sonra Arctic Wolf, bir PowerShell payload'u ve yatay hareket gözlemledi; bazı vakalarda bu durum fidye yazılımı dağıtımına doğru ilerledi. Birkaç olayda kurban, bir PowerShell komutu çalıştırması ve indirilen bir dosyayı başlatması için ikna edildi.

O 15 dakikalık süre tüm izinsiz girişi kapsamıyor: bu, kurbanın mesaja yanıt vermesinden payload'un çalışmasına kadar geçen süre. Kullanıcının durup düşünmesine dayanan her savunma, bu zaman penceresi içinde ve kullanıcının şüphelenmesi için bariz bir neden sunmayan bir kanalda faaliyet göstermek zorunda.

Önerilen kontroller

Arctic Wolf'un önerileri sırasıyla her bir zaaf noktasını hedefliyor. Teams admin center'da, Users ve External access altında, sohbeti açıkça adlandırılmış iş ortağı alan adlarıyla sınırlandırmak yolu tamamen kapatıyor. Yönetilmeyen ve tüketici Teams hesaplarıyla görüşmeleri engellemek, yönetilmeyen kullanıcıların iletişim başlatmasına izin veren seçeneği kapatmak ve yalnızca deneme sürümü tenant'larla federation'ı reddetmek, saldırganların kullanabileceği en düşük maliyetli altyapıyı kesiyor. Güvenlik ekibine engellenen alan adlarını yönetme izni vermek, müdahale edenlerin olaydan sonra değil, olay sürerken devreye girebilmesini sağlıyor.

Çalıştırma tarafında Quick Assist'i onaylı BT rolleriyle sınırlamak ve yetkilendirilmemiş RMM araçlarını engellemek ya da kaldırmak, saldırganın kullanıcıyı çalıştırmaya ikna ettiği yazılımı elinden alıyor. Arctic Wolf bunu, farkındalık eğitimi başarısız olduğunda hâlâ ayakta kalan güvence olarak sunuyor; çünkü kullanıcının bahaneyle arkasındaki gerçeği görmesine dayanmıyor. Tespit tarafında Microsoft'un Teams'teki son kullanıcı bildirme özelliği, bir çalışanın şüpheli bir mesajı veya dış kullanıcıyı iki tıklamayla bildirmesini sağlıyor; bu, henüz araçların yakalayacağı bir payload'un olmadığı ilk temas anında en çok önem taşıyor.

"External" etiketi yalnızca gönderenin tenant dışında bulunduğunu gösteriyor. Gönderenin gerçekten BT'den olup olmadığını doğrulayamıyor; çünkü hem tenant adını hem de görünen adı saldırgan kontrol ediyor. Çalışanlara gerçek BT desteğinin gerçekte nasıl iletişim kurduğu ve bir mesajın hangi alan adından geldiği konusunda eğitim, bu boşluğun bir kısmını kapatıyor; ancak tamamını kapatmıyor ve bu yüzden RMM kısıtlamaları önce geliyor.

Neden önemli

Tek bir sağlayıcının müşteri tabanında, tekdüze teknik ve temas ile çalıştırma arasında kısa süreyle damgalanmış 400 olay, izole bir rahatsızlıktan çok koordineli bir kampanyaya işaret ediyor; ve her izinsiz giriş, Teams'in teslim etmek için tasarlandığı bir mesajla başladı. Microsoft 365 tenant'ları için çıkarım, sohbeti bir giriş yolu olarak görmek: etkili savunmalar, dış erişim ve RMM araçlarına yapılandırma değişiklikleridir, kullanıcıların 15 dakikalık bir pencere içinde doğru kararı vereceğine güvenmek değil.