Arctic Wolf onderzoekt ruim 400 incidenten met Teams-chatmisbruik

Teams-chatmisbruik komt voor in ruim 400 incidenten die Arctic Wolf Labs op 26 oktober beschreef; nep-IT-contacten kunnen medewerkers naar Quick Assist sturen.

Als een medewerker zo’n verzoek accepteert, kan een externe chat uitmonden in bediening van een werkcomputer. De directe beheervraag voor Nederlandse Microsoft 365-organisaties is welke domeinen contact mogen leggen en welke medewerkers externe toegang krijgen. Microsoft staat alle externe domeinen standaard toe.

De telling zegt niet hoeveel inbraken lukken

Arctic Wolf noemt de gevallen incidenten waarin aanvallers de externe chatfunctie gebruikten om medewerkers te misleiden of een organisatie binnen te komen. Het rapport vermeldt geen meetperiode of aandeel gevallen waarin iemand een sessie startte, een bestand uitvoerde of gegevens verloor. De telling beschrijft wat Arctic Wolf in zijn klantomgevingen aantrof. Ze is geen schatting van de kans dat een Nederlandse Microsoft 365-omgeving wordt aangevallen.

Soms krijgt een medewerker eerst honderden aanmeldingen voor nieuwsbrieven en bevestigingen, waarna nep-IT aanbiedt de inbox op te schonen. Andere contacten beginnen met een onverwachte chat of telefoontje. Arctic Wolf zag aanvallers meerdere medewerkers binnen ongeveer vijf minuten benaderen, vermoedelijk geautomatiseerd. Namen als “IT Support (Internal)” moeten vertrouwen wekken, hoewel Teams de afzender tegelijk als extern markeert.

In gemelde gevallen waarin een gebruiker meewerkte, kon de aanvaller volgens het rapport binnen vijftien minuten code uitvoeren. Dat is geen percentage van de 400 incidenten. Volgens Arctic Wolf is ChatCreated, het moment waarop de één-op-één-chat ontstaat, een vroeg detectiesignaal. Arctic Wolf zag ook signalen van pogingen om inloggegevens te achterhalen tegelijk met het eerste Teams-chatalarm. Detectie op ChatCreated biedt een kans om in te grijpen, maar bewijst niet dat een toestel nog onaangeraakt is.

Een chat kan naar bediening op afstand leiden

Quick Assist is het meest gebruikte hulpmiddel dat Arctic Wolf in dit patroon aantrof. Het zit standaard in Windows, is door Microsoft ondertekend en vraagt geen installatie. Een medewerker leest een zescijferige code voor of accepteert een verzoek, waarna de ander het scherm kan bedienen. Voor blijvende toegang stappen aanvallers soms over op beheerprogramma’s zoals AnyDesk, ScreenConnect of Atera.

De aanvallers misbruiken een legitiem hulpmiddel om de gebruiker zelf toegang te laten geven, geen bekend softwarelek in Teams. Microsoft beschreef in september een afzonderlijke campagne waarin een Teams-helpdeskcontact en externe sessie aanvallers naar domeincontrollers en certificaatautoriteiten brachten. De aanvallers installeerden daar ongemerkt een MSI-bestand (Windows Installer) en een Node.js-achterdeur. Dat is een andere aanvalsketen, geen bewijs dat alle 400 incidenten hetzelfde vervolg hadden.

Arctic Wolf beschrijft ook één mogelijk nieuwe besmettingsketen: een medewerker kreeg de opdracht een PowerShell-commando uit te voeren, waarna een MSI-bestand uit Azure Blob Storage een verborgen Python-programma uitpakte. De onderzoekers scheiden dit voorbeeld van het gebruikelijke Quick Assist-pad. Het terugkerende element is het nep-helpdeskcontact; malware en vervolgstappen verschillen per campagne.

Dezelfde voordeur duikt in meer onderzoeken op

In 2026 onderzocht Sophos de campagne STAC4749, waarin aanvallers tussen februari en juni tientallen Noord-Amerikaanse organisaties benaderden; minstens drie compromissen leidden tot Chaos-ransomware. Dat was een specifieke campagne, niet hetzelfde onderzoek als de bredere telling van Arctic Wolf.

Bij STAC4749 liep de route van een Teams-helpdeskchat via Quick Assist naar extra toegang met AnyDesk. Een ander onderzoek liet zien hoe een Teams-helpdeskchat via een Node.js-achterdeur en WinRM kon doorlopen naar domeincontrollers. Dezelfde ingang kan dus uitmonden in een poging tot bediening op afstand, ransomware of toegang tot de identiteitslaag.

Arctic Wolf ziet een verschuiving van gratis Microsoft 365-testomgevingen met een onmicrosoft.com-adres naar domeinen die aanvallers tegen betaling registreerden. Dertig tot veertig procent van de onderzochte gevallen gebruikte een standaard onmicrosoft.com-domein. Binnen betaalde domeinen die Arctic Wolf de afgelopen maanden bij dit soort oplichting zag, eindigde ongeveer de helft op .top, circa 40 procent op .com en iets meer dan 5 procent op meerlagige domeinen zoals .com.pl. Het rapport geeft voor die groep geen totaal aantal, dus de percentages zijn geen aandeel van alle Teams-aanvallen.

Teams-beheerders kunnen externe chat beperken

Microsofts beheerdocumentatie beschrijft hoe een beheerder Teams tot vooraf toegestane externe domeinen kan beperken. Een lijst met toegestane domeinen blokkeert alle andere domeinen zolang beide organisaties externe toegang toelaten. Organisatie-instellingen en gebruikersbeleid bepalen samen wie externe toegang mag gebruiken; chats met onbeheerde Teams-accounts hebben aparte instellingen.

Externe samenwerking hoeft daarmee niet volledig aan of uit. Een organisatie kan domeinen van klanten, leveranciers en groepsmaatschappijen toestaan en andere blokkeren. Instellingen voor anonieme vergaderdeelnemers staan hier los van: een domein blokkeren voorkomt niet automatisch dat iemand anoniem aan een vergadering deelneemt als dat is toegestaan.

Arctic Wolf adviseert Quick Assist te beperken tot bevoegde IT-rollen en niet-goedgekeurde beheerprogramma’s te blokkeren. Het rapport noemt ook een terugbelverificatie via een bekend nummer of bevestiging in een aparte vertrouwde app. Zo verloopt de controle buiten de Teams-chat die de aanvaller zelf begon.

De ruim 400 gevallen komen uit Arctic Wolf’s eigen incidentwerk; het rapport publiceert geen meetperiode of succespercentage. Het documenteert daarmee een terugkerende ingang, terwijl Microsoft- en Sophos-onderzoeken laten zien dat de vervolgstappen verschillen. Voor Nederlandse Teams-organisaties is de reikwijdte van die ingang een beheerinstelling, en de controle van remote hulp een eigen werkafspraak.