Napastnicy wykorzystują funkcję komunikacji z użytkownikami zewnętrznymi w Microsoft Teams, aby podszywać się pod wsparcie IT. Proces ataku często poprzedza mail bombing, który ma na celu zdezorientowanie ofiary poprzez zalanie jej skrzynki spamem.
Oszuści zakładają konta w Microsoft 365, nadając im wiarygodne nazwy, takie jak IT Support. Po nawiązaniu kontaktu przez Teams, ofiara jest namawiana do uruchomienia narzędzi do zdalnego pulpitu, takich jak Quick Assist, AnyDesk czy ScreenConnect. Po uzyskaniu dostępu, hakerzy instalują dodatkowe oprogramowanie, aby utrzymać kontrolę nad systemem.
Skutkiem ataku może być kradzież danych lub instalacja ransomware, co wiąże się m.in. z działaniami grupy Black Basta. Aby się chronić, zaleca się wyłączenie czatu zewnętrznego w Teams i ograniczenie komunikacji do zaufanych organizacji oraz edukację pracowników w zakresie weryfikacji tożsamości rozmówców.
