チェック・ポイント・リサーチ（CPR）は11月21日、Microsoft Teamsに複数の脆弱性を発見したことを発表した。その概要は以下のとおり。
Microsoft Teamsで、攻撃者がメッセージをひそかに編集したり、通知を偽装したり、発信者名を詐称したり、経営幹部になりすますことが可能であることが判明した。CPRからの報告を受け、Microsoftは2025年10月末までに4つの脆弱性をすべて修正した。
CPRは、攻撃者による以下の行為を可能にする複数のMicrosoft Teamsの脆弱性を特定した。
◎送信済みメッセージの編集：送信済みメッセージを「編集済み」ラベルを表示せずに編集して、会話履歴を書き換える
◎通知の偽装：通知を偽装し、信頼できる同僚や役員からの通知に見せかける
◎チャットのタイトルや表示名の改ざん：チャットのタイトルや表示名を改ざんして、従業員に誤った相手とやり取りしていると思わせる
◎ビデオ通話／音声通話の発信者情報の偽装：発信者のIDを偽装して、悪意のある通話を信頼できる連絡先からの着信に見せかける
組織への影響は広範囲に及ぶ。これらの脅威は、電子メールによるフィッシングやビジネスメール詐欺（BEC）を超えた、次世代の攻撃の台頭を示している。
◎業務上のリスク：改ざんされたメッセージや経営幹部のなりすましにより、意思決定が歪められる可能性
◎財務への影響：偽装された承認や不正な請求により、実際の金銭的損失が発生する可能性
◎評判の毀損：改ざんされた社内チャットやミーティングへの招待により、誤った情報が拡散し、社会的信頼が損なわれる可能性
これらの脆弱性は、従業員が安全だと信じているプラットフォーム内で、経営幹部へのなりすまし、金融詐欺、誤情報の拡散、機密情報の改ざんを可能にする。
Microsoftは、CPRの開示を受けてこれらの脆弱性を修正したが、今回の調査結果は、より深刻なシステム上のリスクを明らかにしている。コラボレーションプラットフォームは今や、ソーシャルエンジニアリングの手法を駆使したサイバー攻撃の格好の標的となっている。攻撃者は、暗号化やファイアウォールを突破する必要はなく、協働のために設計されたツール内で、人々が目にする情報や信じる情報を操作するだけで十分である。
■組織が取るべき対策
◎ユーザー教育：既知の連絡先からであっても、予期しないリクエストは必ず確認するよう従業員に教育する
◎多層防御の実装：チャット、ファイル共有、リンクの異常を監視する多層的な防御策を導入する
◎AIを活用した脅威検知：なりすましや改ざんの試みをリアルタイムで検知するAI技術を活用する
◎データ損失防止とゼロトラストポリシーの採用：チャネル間での機密データの流出を制限する
関連リンク