Badacze bezpieczeństwa ujawnili cztery luki w Microsoft Teams, które mogły pozwolić atakującym podszywać się pod współpracowników, modyfikować wiadomości i fałszować tożsamość dzwoniących — potencjalnie umożliwiając ataki inżynierii społecznej na dużą skalę.
Odkrycie
Luki ujawnił zespół Check Point Research, który stwierdził, że Teams można było zmanipulować tak, aby:
- Edytować wiadomości bez wyświetlania etykiety „Edytowano” lub prawdziwego nadawcy
- Zmieniać treść powiadomień, aby wyglądało, że wiadomości pochodzą od zaufanych osób (np. kadry kierowniczej lub pracowników IT)
- Zmieniać nazwy wyświetlane w czatach prywatnych i połączeniach w Teams
- Fałszować identyfikatory dzwoniącego, aby podszywać się pod prawdziwe kontakty
Problemy te dotyczyły zarówno użytkowników wewnętrznych, jak i gości zewnętrznych, tworząc potężne narzędzie do phishingu i oszustw opartych na podszywaniu się.
„Razem te luki pokazują, jak atakujący mogą podważyć fundamentalne zaufanie, które sprawia, że narzędzia do współpracy są skuteczne” — oświadczył Check Point.
Harmonogram poprawek
- 🗓️ marzec 2024 – Luki zostały odpowiedzialnie zgłoszone Microsoftowi.
- 🧩 sierpień 2024 – Microsoft naprawia CVE-2024-38197 (CVSS 6.5).
- 🧰 wrzesień 2024 r. i październik 2025 r. – Wydano dodatkowe poprawki wzmacniające obsługę wiadomości i integralność powiadomień w Teams.
Potencjalny wpływ
Atakujący mogli wykorzystać te luki, aby nakłonić użytkowników do:
- Klikania złośliwych linków lub ładunków podszywających się pod zaufane wiadomości.
- Udostępniania poufnych poświadczeń lub plików podczas sfałszowanych połączeń.
- Zaufania fałszywym prośbom o wsparcie lub od kadry kierowniczej, podobnie jak w atakach typu business email compromise (BEC).
Opinia eksperta
Oded Vanunu, Head of Product Vulnerability Research w Check Point, podkreślił, że luki uderzają w sedno cyfrowego zaufania:
„Cyberprzestępcy nie muszą się już włamywać — wystarczy, że nagną zaufanie. Widzieć już nie znaczy wierzyć, liczy się weryfikacja.”
Reakcja Microsoftu
Microsoft zaklasyfikował CVE-2024-38197 jako lukę typu spoofing o średniej wadze dotyczącą Teams dla iOS, umożliwiającą zmianę nazwy wyświetlanej nadawcy.
W szerszym biuletynie Microsoft powtórzył, że Teams stał się wartościowym celem zarówno dla cyberprzestępców, jak i podmiotów państwowych ze względu na integrację z komunikatorem, spotkaniami i funkcjami udostępniania ekranu.
Spostrzeżenia Alcaeus Services
Platformy do współpracy, takie jak Teams, stały się równie krytyczne — i równie narażone — jak poczta e-mail.
W Alcaeus Services pomagamy organizacjom ograniczać to ryzyko poprzez:
- Egzekwowanie polityk komunikacji w modelu Zero Trust
- Szkolenie użytkowników w weryfikowaniu próśb i tożsamości nadawców
- Wdrażanie MFA odpornego na phishing w Teams i Microsoft 365
💬 W erze inżynierii społecznej 2.0 zaufanie jest nową powierzchnią ataku.
