Phishing în Microsoft Teams: cum verifici dacă „suportul IT” este real înainte să dai acces

Microsoft Threat Intelligence avertizează despre o campanie în care atacatorii scriu angajaților pe Microsoft Teams, se dau drept suport IT și cer acces la calculator prin unelte legitime de asistență la distanță. Regula este simplă: dacă cineva te contactează neașteptat și spune că este de la IT, nu îi da acces până nu îi verifici identitatea pe un canal intern cunoscut.

Verificat: 8 septembrie 2026.

Cum funcționează atacul cu „suport IT” fals?

1. Te contactează pe Teams

   Mesajul sau apelul vine de obicei dintr-o organizație externă, cu un nume ca „IT Support”, „Help Desk” sau un serviciu Microsoft. Pretextele observate: actualizări de securitate, probleme cu filtrul de spam, verificarea contului sau riscul dezactivării lui.

2. Îți câștigă încrederea

   Scopul este să îi urmezi instrucțiunile. Uneori combină mesajele cu un apel vocal, ca să pară mai credibil.

3. Cere acces la distanță

   Îți cere să accepți controlul într-o sesiune Teams sau să deschizi Quick Assist. Quick Assist este o aplicație legitimă Microsoft. Riscul apare când dai controlul cuiva care nu este cine spune.

4. Încearcă să compromită sistemul

   În campania analizată, atacatorii au folosit apoi unelte Windows legitime și componente malițioase. Au cercetat sistemele și mediul Active Directory și au încercat să ajungă la infrastructura mai importantă a organizației.

De ce pare credibil un astfel de mesaj?

Teams este folosit zilnic pentru discuții între colegi, ședințe și suport intern. Un mesaj primit acolo pare mai legitim decât un email suspect. Atacatorul adaugă și urgență: „Contul riscă să fie dezactivat”, „Trebuie actualizat sistemul”, „Avem nevoie de acces ca să rezolvăm problema”.

Teams poate arăta că persoana este din afara organizației și poate avertiza despre contacte suspecte. Atacul reușește când ești convins să ignori aceste semnale.

Care sunt semnele că „persoana de la IT” este falsă?

• Te contactează fără să fi cerut suport.
• Apare ca externă organizației.
• Creează presiune sau urgență.
• Îți cere să pornești Quick Assist sau altă unealtă de acces la distanță.
• Îți cere un cod sau aprobarea controlului asupra calculatorului.
• Îți spune să ignori un avertisment din Teams sau Windows.
• Evită să fie verificată pe un canal intern.

Un singur semn nu dovedește un atac. Mai multe la un loc sunt un motiv să te oprești și să verifici.

Cum verifici cine este înainte să dai acces?

• Folosește alt canal. Nu verifica identitatea în aceeași conversație. Sună la numărul intern, scrie pe adresa oficială de suport sau deschide un ticket.
• Întreabă direct IT-ul pe care îl cunoști: „Ați inițiat voi această solicitare?” Dacă răspunsul este nu, încheie conversația.
• Caută solicitarea. O intervenție la distanță ar trebui să aibă în spate un ticket sau o cerere reală.
• Nu te baza pe platformă. Faptul că mesajul vine pe Teams nu dovedește cine ți-a scris.

Ce este Quick Assist și când îl folosești în siguranță?

Quick Assist, „Asistență rapidă” în Windows, este unealta Microsoft prin care cineva îți vede ecranul și, dacă îi permiți, îți controlează calculatorul. Microsoft recomandă să o folosești doar cu persoane în care ai încredere.

Este în regulă să accepți când tu ai cerut intervenția, știi cine este tehnicianul, solicitarea se poate confirma pe canalul oficial, iar politica firmei permite acest tip de suport. Dacă un necunoscut apare brusc și cere acces imediat, refuză și verifică.

Ai dat deja acces? Ce faci imediat

Tratează situația ca pe un posibil incident de securitate.

1. Oprește sesiunea

   Închide accesul persoanei la calculator.

2. Izolează calculatorul, dacă există suspiciuni

   Dacă politica firmei prevede asta sau s-au făcut acțiuni neautorizate, deconectarea de la rețea poate limita accesul.

3. Anunță imediat IT-ul real

   Spune când a început sesiunea, prin ce aplicație, cât a durat, ce ai observat și dacă ai introdus parole sau alte date.

4. Nu șterge nimic la întâmplare

   Echipa tehnică trebuie să poată vedea ce s-a rulat și ce s-a modificat.

5. Securizează conturile afectate

   Dacă parolele sau sesiunile au putut fi expuse, ele trebuie verificate și schimbate după procedura firmei.

   Pe termen lung, metodele MFA rezistente la phishing, cum sunt passkeys, reduc mult efectul unei parole furate.

6. Verifică ce a rămas în urmă

   Închiderea ferestrei nu garantează că sistemul a revenit la starea de dinainte.

Cum reduce o firmă riscul?

• Un canal clar pentru suport. Angajații știu cum arată o solicitare legitimă și pe unde vine.
• O procedură simplă pentru acces la distanță: solicitare → identificare → confirmare → acces.
• Control asupra comunicării externe în Teams. Microsoft recomandă revizuirea politicilor de colaborare externă și limitarea accesului extern acolo unde se poate.
• MFA și drepturi minime. Un utilizator obișnuit nu are nevoie de drepturi de administrator. MFA rămâne important, dar nu oprește pe cineva căruia îi dai tu controlul.
• Raportare ușoară. Angajatul știe imediat cui trimite un mesaj suspect.

Accesul extern în Teams este doar una dintre setările de verificat; vezi și cele mai frecvente greșeli din Microsoft 365.

Aceste reguli funcționează cel mai bine într-o infrastructură IT gândită de la început, cu conturi, drepturi și dispozitive administrate centralizat.

Checklist: primești un mesaj „Sunt de la IT”

Stop → verifică → confirmă → acces.

• Cunosc persoana?
• Mă așteptam la solicitare?
• Apare ca utilizator extern?
• Există o solicitare sau un ticket real?
• Pot confirma persoana pe un canal intern?
• Mi se cere acces la distanță?
• Mi se cere să ignor un avertisment?

Dacă nu poți confirma cine este persoana, nu îi da acces.

Întrebări frecvente

Microsoft Teams este vulnerabil?

Campania nu arată o vulnerabilitate în Teams. Atacatorii folosesc funcții legitime de colaborare și te conving să treci peste avertismente și să dai acces de bunăvoie.

Poate cineva din afara firmei să mă contacteze pe Teams?

Da, în funcție de setările organizației. Teams marchează aceste contacte ca externe și poate afișa avertismente și opțiuni de blocare.

Ce fac dacă am dat deja codul Quick Assist?

Dacă sesiunea nu este legitimă, oprește accesul și anunță imediat administratorul sau IT-ul real. Calculatorul trebuie verificat.

Poate antivirusul să oprească un astfel de atac?

Soluțiile de securitate pot bloca unele etape. Nu presupune că opresc tot după ce ai dat tu acces.

Antivirusul este doar un strat de protecție; măsurile de bază de securitate pentru IMM-uri includ și MFA, drepturi minime și backup testat.

Pot raporta un mesaj suspect direct din Teams?

Da, dacă funcția este activă în organizația ta. Teams permite raportarea mesajelor ca spam, phishing sau conținut malițios.