NoticiasNews

Falso soporte de TI por Microsoft Teams: cientos de casos de ingeniería social que terminan en ransomwareFake IT support on Microsoft Teams: hundreds of social engineering cases ending in ransomware

2026-10-27

Arctic Wolf Labs advirtió, según informó The Hacker News el 26 de octubre de 2026, sobre un patrón de ingeniería social que ya suma cientos de casos: atacantes que se hacen pasar por el equipo de soporte de TI usando el chat externo de Microsoft Teams.

Cómo funciona el ataque

  • El atacante inunda el correo de la víctima con suscripciones y newsletters para crear urgencia.
  • Poco después aparece un mensaje en Teams desde un nombre como "IT Support (Internal)" o "Help Desk", a veces con el nombre de la empresa de la víctima añadido. Entre el 30 % y el 40 % de los casos usó dominios *.onmicrosoft.com con nombres de tenant temáticos.
  • Se convence al usuario de abrir herramientas legítimas de acceso remoto como Quick Assist, AnyDesk, ScreenConnect o TeamViewer.
  • Con acceso, se hace reconocimiento, se avanza hacia los controladores de dominio y se instalan otras herramientas de gestión remota y puertas traseras como GoGRPC. Sophos vincula estos ataques con el ransomware Chaos.

Recomendaciones

Arctic Wolf sugiere revisar si realmente se necesita el acceso externo en Teams, monitorear telemetría de endpoints e identidad (no solo escanear mensajes) y entrenar a los usuarios para desconfiar de contactos de "TI" no solicitados, sobre todo tras una avalancha repentina de correos de suscripción.

Qué significa para tu operación

El truco funciona porque el usuario no sabe cómo le contactaría de verdad su área de soporte. Cuando todo pedido de ayuda y toda intervención remota quedan registrados en tickets con responsable e historial, la regla se vuelve simple: si no hay ticket, no hay soporte legítimo. Con Servigo365 la mesa de ayuda concentra solicitudes, canales y SLA en un solo lugar, de modo que los usuarios saben por dónde llega el soporte oficial y el equipo de TI puede verificar rápidamente si una supuesta intervención existió.

Fuente: The Hacker News, con base en el informe de Arctic Wolf Labs.

Arctic Wolf Labs warned, as reported by The Hacker News on October 26, 2026, of a social engineering pattern that already spans hundreds of cases: attackers posing as the IT support team through Microsoft Teams external chat.

How the attack works

  • The attacker floods the victim's inbox with newsletter and subscription confirmations to create urgency.
  • Soon after, a Teams message arrives from a name such as "IT Support (Internal)" or "Help Desk", sometimes with the victim's company name added. Between 30% and 40% of cases used *.onmicrosoft.com domains with IT-themed tenant names.
  • The user is persuaded to open legitimate remote access tools such as Quick Assist, AnyDesk, ScreenConnect or TeamViewer.
  • With access, attackers perform reconnaissance, move toward domain controllers and install further remote management tools and backdoors such as GoGRPC. Sophos links these attacks to Chaos ransomware.

Recommendations

Arctic Wolf suggests reviewing whether external Teams access is really needed, monitoring endpoint and identity telemetry (not just scanning messages) and training users to distrust unsolicited "IT" contacts, especially after a sudden flood of subscription emails.

What it means for your operation

The trick works because users don't know how their support team would genuinely contact them. When every help request and every remote intervention is logged as a ticket with an owner and history, the rule becomes simple: no ticket, no legitimate support. With Servigo365 the help desk brings requests, channels and SLAs into one place, so users know where official support arrives and the IT team can quickly verify whether a supposed intervention ever existed.

Source: The Hacker News, based on the Arctic Wolf Labs report.

← Volver al blog← Back to blog