A Microsoft terve szerint a korai kiadásra kijelölt felhasználóknál a bevezetés 2026. november elején kezdődik és november közepéig tart. A világszintű általános bevezetést december eleje és közepe közé ütemezték. A védelem bekapcsolásához a közlemény szerint nincs szükség rendszergazdai beavatkozásra. Ezek tervezett időpontok; egy adott szervezetnél a funkció tényleges megjelenése eltérhet. Microsoft 365-ütemterv, 575288-as fejlesztés · Microsoft 365 Üzenetközpont, MC1519866
„Az informatikától keresem, segítek megszüntetni a levéláradatot.” Egy ilyen Teams-üzenetben nem feltétlenül van gyanús hivatkozás vagy fertőzött melléklet. A veszély akkor válik nyilvánvalóbbá, amikor az ismeretlen segítő belépési adatokat vagy távoli hozzáférést kér a munkatárs gépéhez. A Microsoft erre a helyzetre készít új védelmet: a Teams mesterséges intelligencia segítségével, a beszélgetés összefüggései alapján ismerheti fel az adathalászat, a megszemélyesítés és más megtévesztési kísérletek jeleit.
A beszélgetés menete is árulkodó lehet
Az új funkció olyan mintákat keres a csevegésben, amelyek arra utalnak, hogy a küldő megbízható személynek adja ki magát, vagy veszélyes lépésre próbálja rávenni a címzettet. Ennek különösen akkor van jelentősége, amikor a nyitóüzenet önmagában hétköznapinak tűnik. Egy kéretlen segítségajánlat például egészen más megvilágításba kerül, ha néhány üzenettel később a küldő jelszót, ellenőrző kódot vagy a számítógép irányításának átadását kéri.
A megtévesztés tehát jóval azelőtt elkezdődhet, hogy a támadó bármilyen felismerhetően rosszindulatú tartalmat küldene. A korai figyelmeztetés értéke az lehet, hogy a munkatárs még az adatok vagy a gépe feletti irányítás átadása előtt ellenőrzi, kivel beszél. A bejelentésben ugyanakkor a Microsoft nem tett közzé felismerési arányt vagy a téves riasztások gyakoriságát mutató mérési eredményt. A funkció gyakorlati pontosságát ezért a bevezetés utáni tapasztalatok alapján lehet majd megítélni. A Microsoft leírása az adathalász tartalmak észleléséről
Kiknél és milyen beszélgetésekben jelenhet meg a figyelmeztetés?
A Microsoft támogatási dokumentációja szerint a védelem az asztali, webes és mobilos Teamsben egyaránt az új, első alkalommal jelentkező külső kapcsolatokra összpontosít. Kétszemélyes és csoportos csevegésben is megjelenhet a figyelmeztetés, ha a rendszer adathalászatra utaló viselkedést azonosít.
A jelzés magában a csevegésben látható. A Microsoft azt javasolja, hogy a címzett nézze meg a küldő nevét és e-mail-címét, majd mérlegelje magát a kérést is: indokolt-e például, hogy az illető személyes adatot vagy pénzt kér? Ha a megkeresés adathalászatnak bizonyul, a felhasználó a névjegykártyáról letilthatja és jelentheti a küldőt. Ha egy ismert partner jogos üzenete kapott figyelmeztetést, a megjelölt üzenet további lehetőségeinél a Report as not a concern menüponttal jelezhető a téves találat. A Microsoft útmutatója a figyelmeztetések kezeléséhez
A Kínában mobilt használóknál a helyi csalási módszerek miatt a kiegészítő védelem külső és szervezeten belüli beszélgetésekre is kiterjedhet. Ez régiós sajátosság: a dokumentáció nem ígér azonos ellenőrzést világszerte minden belső beszélgetésre, régebb óta ismert külső partnerre vagy hanghívásra.
Mire használja a Microsoft az üzenetek tartalmát?
A Microsoft közlése szerint az észlelési rendszer az ügyfelek üzeneteinek tartalmát nem őrzi meg modelltanításra vagy másodlagos felhasználásra. A támogatási dokumentáció azt is rögzíti, hogy a funkció nem szolgál reklámozásra, a munkatársak megfigyelésére, teljesítményük elemzésére vagy a beszélgetések összefoglalására. A tartalom feldolgozásának megjelölt célja az adathalászat és a megtévesztési kísérletek felismerése. A Microsoft tájékoztatása az adatfelhasználásról
Ez a vállalás kifejezetten az adathalászat-észlelési funkcióra vonatkozik. Nem változtatja meg egy szervezet külön meghatározott Teams-üzenetmegőrzési, naplózási vagy megfelelőségi szabályait.
A hamis IT-ügyfélszolgálat bevált támadási módszer
A Microsoft Threat Intelligence már 2024-ben dokumentálta, hogyan szerzett hozzáférést áldozatai eszközeihez a Storm-1811 néven követett, pénzügyi indíttatású csoport. A kutatók júniusi frissítése szerint a támadók Teams-üzenetekben és hívásokban is informatikai ügyfélszolgálatosnak adták ki magukat. A Windows távoli segítségnyújtásra szolgáló eszközét, a Quick Assistot használták arra, hogy a felhasználó engedélyével hozzáférjenek a gépéhez. A Microsoft a csoportot a Black Basta zsarolóprogrammal hozta összefüggésbe, és a behatolás utáni tevékenységek között hitelesítő adatok lopását, rosszindulatú szkriptek futtatását és a hozzáférés fenntartását szolgáló eszközök használatát is leírta. A Microsoft vizsgálata a Storm-1811 módszereiről
A Quick Assist ezekben az esetekben a rendeltetésének megfelelően adott távoli hozzáférést annak, akit a felhasználó beengedett. A csalás abban állt, hogy más kapta meg az engedélyt, mint akinek a munkatárs hitte. Ezért a támogatási kérés hitelességét az eszköz jóváhagyása előtt kell ellenőrizni, akkor is, ha a használt program valódi Microsoft-termék.
A levéláradatot maguk a támadók idézik elő
A Sophos két zsarolóprogramos kampány vizsgálatakor megfigyelte, hogyan teremtettek a támadók hihető indokot a kapcsolatfelvételre. Először kéretlen levelekkel árasztották el a célpont postaládáját. Ezután a Teamsben jelentkezett valaki, aki azt állította, hogy az informatikai ügyfélszolgálattól érkezett, és meg tudja szüntetni a problémát.
Az egyik alkalmazott mintegy 45 perc alatt több mint 3000 kéretlen üzenetet kapott, mielőtt egy „Help Desk Manager” nevű külső fiókról felhívták. A cég külső informatikai szolgáltatót alkalmazott, így a segítségajánlat attól még hihetőnek tűnt, hogy a hívó nem a szervezet saját fiókját használta. A támadók a Teams vagy a Quick Assist segítségével igyekeztek megszerezni a gép távoli irányítását, majd rosszindulatú szoftvert telepítettek. A Sophos vizsgálata a levélárasztással előkészített Teams-támadásokról
A Sophos STAC5143 és STAC5777 néven követte a két műveletsorozatot. A 2025 januárjában közzétett kutatásban az azt megelőző három hónapból több mint 15 olyan incidensről számolt be, amelyben ezeket a módszereket használták. A sorrend magyarázza a megkeresés meggyőző erejét: a munkatárs valóban segítségre szorul, a jelentkező pedig pontosan tudja, milyen problémával küzd – mert ő vagy a társa idézte elő.
A támadók több munkatársnál is próbálkozhatnak
Egy 2026 márciusában közzétett Microsoft-esettanulmányban a támadó két sikertelen próbálkozás után egy harmadik alkalmazottat győzött meg arról, hogy a Quick Assist segítségével engedjen hozzáférést a számítógépéhez. Ezután hamis webhelyre irányította az áldozatot, ahol vállalati hitelesítő adatokat kértek tőle, és rosszindulatú letöltések indultak. A Microsoft incidenskezelői megfékezték a behatolást; beszámolójuk szerint a támadó végső céljai nem teljesültek. Az eset megmutatja, miért hasznos már az első gyanús megkeresést jelenteni: ugyanaz a személy más munkatársnál folytathatja a próbálkozást. A Microsoft 2026. márciusi esettanulmánya
A Sophos egy másik, STAC4749 néven követett kampányról júliusban számolt be. Ebben a Teamsben végzett megszemélyesítést távoli hozzáférés megszerzése, hátsó kapuk telepítése, több incidensben pedig a Chaos zsarolóprogram bevetése követte. A február és június közötti megfigyelések elsősorban kanadai és egyesült államokbeli célpontokat érintettek, többek között a szolgáltatási, feldolgozóipari, energetikai és építőipari ágazatban. A Sophos 2026-ban több Teamsen keresztüli hangalapú adathalászati esetet észlelt, de jelezte: a növekedést részben a jobb észlelés is magyarázhatja. A Sophos STAC4749-jelentése
A külső csevegés és az értekezletek hozzáférését külön kell beállítani
A Teamsben a rendszergazdák engedélyezhetik az együttműködést minden külső tartománnyal, korlátozhatják azt megnevezett partnerekre, letilthatnak kiválasztott tartományokat, vagy teljesen kikapcsolhatják az ilyen külső hozzáférést. Egy jól körülhatárolt partnerkörrel dolgozó cégnél az engedélyezett tartományok listája csökkentheti a kéretlen megkeresések lehetőségét. Ahol naponta új ügyfelekkel vagy beszállítókkal indul kapcsolat, ott a beállítást a tényleges együttműködési igényekhez kell igazítani.
Egy tartomány letiltása nem feltétlenül zárja ki annak felhasználóit az értekezletekről. Ha a szervezet megengedi a névtelen csatlakozást, a letiltott tartományból érkező személy továbbra is beléphet így egy megbeszélésre. Ezért a külső csevegés szabályai mellett a névtelen részvétel beállításait is külön át kell tekinteni. A Microsoft útmutatója a külső hozzáférés kezeléséhez
A Microsoft incidenskezelési ajánlásai a szervezet által nem felügyelt fiókokból érkező megkeresések korlátozására és a távoli felügyeleti szoftverek felülvizsgálatára is kitérnek. Ahol a Quick Assistnak nincs üzleti szerepe, ott érdemes letiltani vagy eltávolítani. Ahol viszont a hivatalos ügyfélszolgálat ténylegesen használja, a munkatársaknak ismerniük kell a segítségkérés és a jóváhagyás hiteles menetét. A Microsoft incidenskezelőinek ajánlásai
Hogyan készülhetnek fel a munkatársak és a biztonsági csapatok?
- Mutassák meg, mit kell tenni a figyelmeztetésnél. A dolgozók tudják, hol tilthatják le és jelenthetik az adathalász küldőt, illetve hogyan jelölhetik tévesnek egy megbízható partner üzenetére kapott riasztást.
- Legyen ismert, független út az IT-ügyfélszolgálathoz. Kéretlen segítségajánlatnál a munkatárs a belső címtárból ismert telefonszámon vagy ügyfélszolgálati portálon ellenőrizze a megkeresést, mielőtt átadná a gép irányítását. Ehhez ne a megkereső által küldött linket vagy telefonszámot használja.
- Ellenőrizzék, kik érhetik el a dolgozókat. Tekintsék át a külső szervezetekkel folytatott kommunikáció, a nem felügyelt fiókok és a névtelen értekezleti részvétel beállításait.
- Tartsák nyilván a jóváhagyott távoli támogatási eszközöket. Legyen világos, melyik szoftvert használja a belső vagy szerződött ügyfélszolgálat, és milyen esetben kérhet hozzáférést.
- Kössék össze a felhasználói jelentéseket az incidenskezeléssel. Egy gyanús beszélgetés vizsgálatakor ellenőrizzék, indult-e távoli munkamenet, történt-e szokatlan bejelentkezés vagy letöltés az érintett gépen, és kapott-e más munkatárs hasonló megkeresést.
A Microsoft átfogó Teams-biztonsági útmutatója a csevegési védelem mellett a Safe Links és a Safe Attachments használatát, a rosszindulatú üzenetek eltávolítását, a végpontvédelmet és a naplózást is ajánlja. A bevezetés után a felhasználói jelentésekből az elmulasztott fenyegetéseket és a téves riasztásokat egyaránt érdemes kivizsgálni. A legfontosabb gyakorlati próba az, hogy amikor egy ismeretlen ember a Teamsben hozzáférést kér egy géphez, a dolgozó tudja-e, kit és milyen megbízható csatornán érhet el, mielőtt igent mond. A Microsoft ajánlásai a Teams-üzenetküldés védelméhez
Eredeti cím: Microsoft Teams Adds AI-Powered Phishing Detection
