Microsoft Teamsを悪用する音声フィッシング「Spring Ring」 — 10社150人を標的、NTLMリレーでドメイン管理者権限を狙う手口をUnit 42が解明

Palo Alto Networksの脅威インテリジェンスチームUnit 42は2026年8月31日、Microsoft Teamsの外部アカウント機能を悪用した音声フィッシング（vishing）攻撃キャンペーン「Spring Ring」を公表した。Unit 42の研究者Noam Sala氏が執筆した報告書によると、攻撃者はTeams上でITヘルプデスクになりすまして音声通話を仕掛け、被害者に遠隔操作ツールの実行やマルウェアの導入を誘導した。Unit 42は2026年1月から4月に、少なくとも10社で150人超の従業員が標的となったことをテレメトリで確認している。

何が起きたか — Teamsの「外部とチャット」機能を悪用

Spring Ringの起点は、Teamsの既定で有効な「外部の相手とチャット（Chat with Anyone）」機能だった。攻撃者はMicrosoft 365の外部テナント（.onmicrosoft.com）を取得し、Teams上で被害者に直接チャットを作成した。表示名は「help desk」「IT assistance」「support staff」といった汎用的なヘルプデスク名や、実在する業界関係者の個人名（[email protected] など、Unit 42は一部を匿名化）を用いて正規の社内サポートに見せかけた。Unit 42は、この手法がMicrosoft製品自体の脆弱性や侵害を示すものではないと明記している。

チャット作成後、攻撃者は音声通話を発信して被害者を誘導した。Unit 42によると、攻撃者は1人の標的に対して留守番電話を含めて複数回発信し、成功した通話は10〜15分に及んだ。通話内容は記録や監視が残りにくい音声という特性を悪用し、メールよりも高い信頼感を醸成して操作を実行させる点が特徴だとUnit 42は指摘している。

Unit 42はこの傾向を広範な変化として位置づけている。Cortexのテレメトリでは、2026年1〜4月のフィッシングアラートのうちコラボレーションツール経由のものが42%を占め、直前4か月の30%から上昇した。KnowBe4のレポートでも、2025年10月から2026年3月にTeamsを悪用した攻撃が41%増加したとされる。従来のAPT29（Cloaked Ursa）によるTeams経由の認証情報窃取がリンクや偽テナントに依存していたのに対し、Spring Ringは人間の音声によるリアルタイムの対話で検出回避を図る点が新しいとUnit 42は説明している。

攻撃の流れ — 正規RMMからNTLMリレーへ

Unit 42は、同じTeamsの誘導から分岐する2つのキャンペーン（Campaign A / B）を詳細に分析した。

Campaign A — 正規RMMと難読化ペイロード 攻撃者はヘルプデスクを装い、被害者にWindows標準の「クイックアシスト（Quick Assist）」やサードパーティ製の遠隔監視・管理（RMM）ツールの起動・インストールを口頭で指示した。RMMが実行されると、攻撃者は遠隔操作権限を取得し、ホストやドメインの列挙コマンドを実行した後に、難読化されたペイロードを配信した。Bring Your Own Tool（正規ツールの悪用）により、初期侵入を正規のIT支援に見せかけた。

Campaign B — NTLMリレーでドメインコントローラーを狙う より高度な変種では、音声通話で信頼を得た後に、Microsoft NT LAN Manager（NTLM）リレー攻撃へ移行した。Unit 42によると、攻撃者はオープンソースのPetitPotamなどのツールを用いて、組織のドメインコントローラー（DC）に対するリレー攻撃を試みた。Teams上の信頼関係を突破した後、ドメイン全体の管理権限に到達するまでの経路が短いことをUnit 42は強調している。

両キャンペーンとも、攻撃者はSaaSコラボレーション基盤が持つ「閉じた信頼圏」を悪用した。メールでは外部送信バナーや不審リンクに注意が向きやすいのに対し、Teams上のヘルプデスク通知は警戒が緩みやすく、音声通話は監視や記録が残りにくいことが悪用されたとUnit 42は分析している。

規模と対象

Unit 42のテレメトリが確認した範囲は以下の通りである。

• 攻撃対象テナント：10社以上（複数業種にまたがる）
• 接触した従業員数：150人超
• 攻撃に用いられた外部ID：初期調査で26件の不審なIDを特定
• 活動期間：2026年1月から4月まで継続、数週間にわたり執拗に継続

攻撃者は標的ごとに複数回の発信を試み、多くは数秒で切断されたが、成功したケースでは長時間の通話でペイロード実行まで誘導した。

Unit 42が示す保護と対策

Unit 42は、Palo Alto Networks製品の利用者が以下の機能で本稿の脅威から保護されると説明している。

• Advanced URL FilteringおよびAdvanced DNS Security
• Cortex XDRおよびCortex XSIAM
• Cortex Advanced Email SecurityやIdira（Identity Threat Detection、Privileged Access Managementなど）

同社はまた、Teamsの外部アクセス設定の見直しや、ITヘルプデスクを名乗る外部チャット・音声通話に対する従業員教育、外部テナントからのチャット作成時の警告表示（図1）の周知を推奨している。侵害が疑われる場合はUnit 42インシデントレスポンスへの連絡を呼びかけている。

日本企業への示唆

Microsoft TeamsとEntra ID（旧Azure AD）を中核に据える日本企業にとって、Spring Ringの手口は身近な脅威である。メール訓練で培われた警戒がTeamsの音声通話では機能しにくく、外部テナントの.onmicrosoft.comドメインが正規に見える点も注意が必要だ。Unit 42が示すように、外部とのチャットを原則ブロックし、必要な場合のみ許可リストで運用する、ヘルプデスクからの指示はTeams通話ではなく社内ポータルやチケットシステムで再確認する文化を徹底することが有効である。

出典

• Palo Alto Networks Unit 42, “Spring Ring: An Inside Look at Voice Phishing Campaigns in Microsoft Teams” (By Noam Sala, Published August 31, 2026) — https://unit42.paloaltonetworks.com/spring-ring-voice-phishing-campaigns/