Fałszywy helpdesk w Teams: vishing, email bombing i zdalny dostęp

Kampania Spring Ring, opisana przez Unit 42 we wrześniu 2026 roku, pokazuje ten model w dużej skali. Badacze obserwowali ją od stycznia do kwietnia 2026 roku. Według ich telemetrii napastnicy dotarli do ponad 150 pracowników w co najmniej 10 firmach. Zidentyfikowano 26 odrębnych tożsamości używanych do kontaktu przez Teams.

To uzupełnia wcześniejszy scenariusz, w którym atakujący najpierw stosują email bombing, czyli zalewają skrzynkę wiadomościami, a dopiero potem pojawiają się jako rzekomy helpdesk. W obu wariantach sedno jest takie samo: pracownik ma zaufać osobie z narzędzia używanego na co dzień i sam otworzyć jej drogę do urządzenia.

Spring Ring: zewnętrzny tenant, czat i telefon od „IT”

Unit 42, zespół analiz zagrożeń Palo Alto Networks, opisał kampanię nazwaną Spring Ring. Napastnicy korzystali z zewnętrznych kont Microsoft Teams i tworzyli nazwy tenantów oraz tożsamości sugerujące wewnętrzne wsparcie techniczne. Wśród obserwowanych nazw pojawiały się określenia związane z pomocą IT, ochroną sieci lub obowiązkowymi aktualizacjami.

To ważne rozróżnienie: raport nie opisuje włamania do Microsoft Teams ani wykorzystania luki w produkcie. Napastnicy korzystali z legalnych funkcji komunikacji między organizacjami i próbowali przekonać użytkownika, że zewnętrzna osoba jest prawdziwym pracownikiem wsparcia.

Po zaakceptowaniu czatu następowała rozmowa głosowa. Wiele prób kończyło się szybko albo było ignorowanych, ale udane rozmowy często trwały od 10 do 15 minut. Taki czas pozwala napastnikowi zbudować wiarygodność, wytłumaczyć rzekomy problem i przeprowadzić ofiarę przez kolejne kroki.

Co działo się po rozmowie

Unit 42 opisał dwie ścieżki techniczne. W pierwszej napastnik nakłaniał pracownika do uruchomienia wbudowanego narzędzia Quick Assist albo innego programu do zdalnego zarządzania. Po uzyskaniu kontroli nad komputerem sprawdzał środowisko i próbował uruchomić dalsze polecenia oraz złośliwe oprogramowanie.

Druga ścieżka prowadziła przez plik umieszczony w chmurze i dopasowany nazwą do organizacji oraz użytkownika. Po uruchomieniu pliku atak obejmował między innymi przejęcie działania przeglądarki, rozpoznanie sieci wewnętrznej i próbę wykorzystania mechanizmu NTLM do dalszego ruchu w środowisku.

W obu przypadkach działania zostały zatrzymane przed osiągnięciem celu przez napastników. Nie należy więc opisywać Spring Ring jako potwierdzonego przejęcia domen w badanych firmach. Raport pokazuje próbę wejścia do środowiska i dalszego rozwinięcia ataku po udanej manipulacji użytkownika.

Email bombing nadal jest skutecznym przygotowaniem ataku

Spring Ring pokazuje, że email bombing nie jest konieczny. Nadal jednak może bardzo dobrze przygotować ofiarę do kontaktu z fałszywym helpdeskiem.

W takim wariancie napastnik najpierw zapisuje adres ofiary do wielu usług i newsletterów albo w inny sposób zalewa skrzynkę wiadomościami. Pracownik widzi realny problem, chce szybko odzyskać kontrolę nad pocztą i jest bardziej podatny na propozycję pomocy. Chwilę później w Teams pojawia się osoba podająca się za dział IT.

To odwraca naturalny mechanizm ostrożności. Rzekomy pracownik wsparcia nie musi przekonywać ofiary, że coś się dzieje — problem jest widoczny. Musi jedynie przekonać ją, że to właśnie on może go naprawić.

Microsoft opisywał podobny model już wcześniej przy nadużywaniu Quick Assist. W 2024 roku firma informowała o kampaniach, w których vishing i email bombing prowadziły do uruchomienia zdalnej pomocy. We wrześniu 2026 roku Microsoft opisał kolejną, oddzielną kampanię wykorzystującą zewnętrzne kontakty w Teams, podszywanie się pod wsparcie IT i zdalne sesje. To nie jest dowód, że wszystkie te działania prowadzi jedna grupa. Pokazuje natomiast powtarzalność tego samego mechanizmu socjotechnicznego.

Dlaczego Teams daje napastnikowi wiarygodny kontekst

Teams jest dla wielu pracowników normalnym miejscem kontaktu z kolegami, partnerami i wsparciem technicznym. Dlatego rozmowa w tym kanale może wyglądać mniej podejrzanie niż e-mail z nieznanej domeny.

Zewnętrzny tenant Microsoft 365 może mieć nazwę brzmiącą technicznie i profesjonalnie. Sam fakt, że wiadomość pojawia się wewnątrz aplikacji Microsoftu, nie potwierdza jednak tożsamości nadawcy. Użytkownik powinien zwrócić uwagę na oznaczenie kontaktu zewnętrznego i na to, czy sam oczekiwał takiej rozmowy.

Microsoft zaleca dodatkową ostrożność wobec kontaktów spoza organizacji i wskazuje, że nieoczekiwane prośby o uruchomienie zdalnej sesji są sygnałem wymagającym weryfikacji.

Punkt krytyczny: zdalna pomoc po nieoczekiwanym kontakcie

Quick Assist, AnyDesk, ConnectWise i inne narzędzia zdalnego wsparcia są legalne. Problemem nie jest sam program, tylko to, kto inicjuje sesję i dlaczego użytkownik ma oddać kontrolę nad komputerem.

Jeżeli nieznana osoba zaczyna rozmowę w Teams, podaje się za dział IT i prosi o uruchomienie zdalnej pomocy, pracownik nie powinien kontynuować. Bezpieczny krok to przerwanie kontaktu i samodzielne sprawdzenie zgłoszenia przez oficjalny kanał firmy.

Ta zasada jest szczególnie ważna, gdy rozmówca prosi o:

• uruchomienie Quick Assist lub innego programu do zdalnej kontroli,
• przekazanie kodu sesji lub zaakceptowanie przejęcia sterowania,
• pobranie pliku z chmury,
• wykonanie polecenia w PowerShell albo wierszu poleceń,
• wyłączenie ochrony systemu,
• udostępnienie ekranu lub danych uwierzytelniających.

Co firma może zmienić w procesie wsparcia

Techniczne filtrowanie nie wystarczy, jeśli pracownik nie wie, jak odróżnić prawdziwy kontakt z IT od podszycia. Organizacja powinna jasno określić, w jaki sposób dział wsparcia rozpoczyna kontakt i jak użytkownik może potwierdzić jego autentyczność.

Praktyczne zasady mogą obejmować:

• potwierdzanie nietypowych próśb przez system zgłoszeń lub oficjalny numer,
• ograniczenie komunikacji z nieznanymi zewnętrznymi tenantami Teams,
• kontrolę narzędzi do zdalnej pomocy i rejestrowanie ich użycia,
• monitorowanie nietypowych sekwencji typu Teams → zdalna sesja → PowerShell lub pobranie programu,
• szkolenia obejmujące rozmowy głosowe i komunikatory, a nie wyłącznie e-mail.

Szerszy kontekst tego typu manipulacji opisujemy w artykule Co to jest vishing i jak działa w firmie. Z kolei materiał Warstwa obrony przed phishingiem. Czego brakuje, gdy filtr poczty nie wystarcza pokazuje, dlaczego organizacja potrzebuje procesu reakcji także poza skrzynką pocztową.

Jak ćwiczyć ten scenariusz w security awareness

Test nie powinien sprowadzać się do sprawdzenia, czy pracownik kliknie link. W tym modelu najważniejsza decyzja może pojawić się podczas rozmowy, gdy ktoś prosi o uruchomienie zdalnej pomocy.

Scenariusz szkoleniowy może sprawdzać, czy pracownik:

• rozpoznaje, że kontakt pochodzi spoza organizacji,
• nie traktuje nazwy „IT” lub „Help Desk” jako dowodu tożsamości,
• potrafi przerwać rozmowę mimo presji,
• zna oficjalny kanał do potwierdzania zgłoszeń,
• zgłasza próbę podszycia zanim uruchomi zdalny dostęp.

Jeżeli chcesz sprawdzić takie zachowania w praktyce, zobacz testy phishingowe dla firm. Dobrze zaprojektowany test powinien mierzyć reakcję na proces socjotechniczny, a nie tylko kliknięcie w wiadomość.

Co powinien zapamiętać pracownik

Nieoczekiwany kontakt od „IT” w Microsoft Teams nie jest automatycznie wiarygodny tylko dlatego, że pojawia się w znanej aplikacji. Jeżeli rozmówca prosi o zdalny dostęp, instalację programu albo wykonanie poleceń, należy przerwać kontakt i samodzielnie skontaktować się z prawdziwym działem IT.

Email bombing może zwiększyć presję, ale nie jest warunkiem takiego ataku. Spring Ring pokazuje, że wystarczy zewnętrzny kontakt, wiarygodnie brzmiąca tożsamość i rozmowa głosowa, aby próbować przeprowadzić pracownika od zwykłego czatu do działań otwierających drogę do firmowego urządzenia.