Teamsの脆弱性を突く新ツール「TeamsPhisher」を公開 全ユーザーが利用可

米国海軍は新たなセキュリティツール「TeamsPhisher」を公開した。これを利用すると、Teamsユーザーに対するフィッシング攻撃が可能になる。

[後藤大地，有限会社オングス]

　コンピュータ情報サイトの「Bleeping Computer」は2023年7月5日（現地時間）、米国海軍のレッドチームメンバーが新たなセキュリティツール「TeamsPhisher」を公開したと報じた。これを悪用すれば「Microsoft Teams」（以下、Teams）のユーザーにフィッシング攻撃を仕掛けることが可能になる。

米国海軍のレッドチームメンバーは「TeamsPhisher」を公開した（出典：Bleeping ComputerのWebサイト）

新ツールは全ユーザーが利用可能　サイバー攻撃者に悪用される可能性も

　Teamsには外部テナントからの受信ファイルを制限するセキュリティ機能が備わっている。しかし最近、セキュリティ研究者やセキュリティベンダーの研究結果によって、この機能を回避できること、さらにこれを悪用してマルウェア感染を促すことが可能だと明らかになった。

　TeamsPhisherは、これらのセキュリティ研究者やセキュリティベンダーが公開した情報に基づいて開発されたセキュリティツールだ。組織が外部通信を許可していないTeamsユーザーにフィッシングメッセージや添付ファイルを配信できる。これを使用することで完全に自動化されたサイバー攻撃が可能になる。もともとは、承認されたレッドチームが使うために開発されたものだが、現在は「GitHub」で公開されており誰でも入手できる。

　MicrosoftはTeamsの問題について認識しているが、本稿執筆時点では修正の対象としては捉えていない。Bleeping Computerはこうした状況を考慮し、Microsoftが対応措置を講ずることを決定するまで、組織に対して外部テナントとの通信を無効にすることを強く推奨している。