Microsoft descrive intrusioni partite da un finto help desk su Teams e arrivate ai certificati di Active Directory

Il 30 ottobre 2026 Microsoft Threat Intelligence ha pubblicato sul Microsoft Security Blog l'analisi di due intrusioni condotte da persone, non da programmi automatici. In entrambe gli aggressori si sono finti personale dell'assistenza informatica su Microsoft Teams e hanno convinto un dipendente a concedere il controllo del PC.

Come si è svolto l'attacco

Il contatto arrivava con messaggi o chiamate Teams da tenant esterni con nomi che richiamavano l'azienda e l'assistenza. Alla vittima veniva chiesto di aprire Quick Assist, lo strumento di assistenza remota di Windows, e di comunicare il codice di connessione. Da lì l'aggressore copiava un archivio nella cartella Download, lo eseguiva con un ambiente Python, Bun o Java portatile e iniziava a esplorare il PC, la rete e i servizi di certificazione di Active Directory (AD CS).

I due casi poi si dividono. Nel primo un modello di certificato configurato male (tecnica chiamata ESC1) ha permesso a un utente comune di ottenere certificati di accesso per account privilegiati. Nel secondo è stato fatto autenticare un controller di dominio verso una macchina dell'aggressore e l'autenticazione è stata inoltrata al servizio di richiesta certificati via web (ESC8), ottenendo un certificato per il controller stesso. Microsoft precisa che non c'è una falla di Teams e che l'attività non è attribuita a un gruppo preciso.

Un punto utile per chi gestisce la sicurezza: secondo Microsoft cambiare la password o reinstallare il primo PC non revoca i certificati già emessi, che vanno revocati a parte. Nel primo caso, inoltre, un account privilegiato escluso dalla risposta automatica è rimasto utilizzabile ed è servito a copiare dati su un server esterno.

Cosa cambia per te

Se la tua azienda ha un dominio Active Directory con servizi di certificazione, il rischio riguarda anche una piccola rete. Se non lo ha, vale comunque la parte sul falso supporto.

• Concorda come si riconosce la vera assistenza. Chi chiede di aprire Quick Assist o altri accessi remoti va ricontattato su un canale interno già noto, prima di concedere qualsiasi accesso.
• Limita Teams verso l'esterno. Consenti i contatti solo con i domini che ti servono e controlla le impostazioni di accesso esterno e federazione.
• Fai verificare i modelli di certificato. Chi lavora con AD CS deve controllare quelli che accettano l'identità indicata dal richiedente e chi può iscriversi.
• Proteggi l'accesso web alla CA. Microsoft raccomanda HTTPS con Extended Protection e, dove possibile, di disattivare NTLM sui servizi di richiesta certificati.
• Rivedi le esclusioni. Un account escluso da controlli o blocchi automatici va trattato come un'eccezione da gestire a mano.

Per un controllo della rete e dei servizi di dominio puoi vedere reti e sicurezza o la assistenza aziendale. Sul fronte dei messaggi ingannevoli c'è anche l'articolo su phishing, email e PEC fraudolente.