Microsoft Teamsに4つの脆弱性、チャット改ざんやビデオ通話の偽装などを確認──CPR

　米国時間2025年11月4日、チェック・ポイント・ソフトウェア・テクノロジーズ（以下、チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（以下、CPR）は、Microsoft Teamsに複数の脆弱性を見つけたと発表した。CPRの最新調査では、Microsoft Teamsで攻撃者がメッセージをひそかに編集したり、通知を偽装したり、発信者名を詐称したり、経営幹部になりすましたりすることが可能であると判明。CPRからの報告を受け、Microsoftは2025年10月末までに4つの脆弱性をすべて修正したとのことだ。

　CPRは、攻撃者による以下の行為を可能にする複数のMicrosoft Teamsの脆弱性を特定したという。

• 送信済みメッセージの編集：送信済みメッセージを「編集済み」ラベルを表示せずに編集して、会話履歴を書き換える
• 通知の偽装：通知を偽装し、信頼できる同僚や役員からの通知に見せかける
• チャットのタイトルや表示名の改ざん：チャットのタイトルや表示名を改ざんして、従業員に誤った相手とやり取りしていると思わせる
• ビデオ通話／音声通話の発信者情報の偽装：発信者のIDを偽装して、悪意のある通話を信頼できる連絡先からの着信に見せかける

　これらの脆弱性が組織に与える可能性のあるリスクについて、同社は以下のように述べている。

• 業務上のリスク：改ざんされたメッセージや経営幹部のなりすましにより、意思決定が歪められる可能性
• 財務への影響：偽装された承認や不正な請求により、実際の金銭的損失が発生する可能性
• 評判の毀損：改ざんされた社内チャットやミーティングへの招待により、誤った情報が拡散し、社会的信頼が損なわれる可能性

　これらを受けて、同社が考える組織が取るべき対策は以下のとおり。

• ユーザー教育：既知の連絡先からであっても、予期しないリクエストは必ず確認するよう従業員に教育する
• 多層防御の実装：チャット、ファイル共有、リンクの異常を監視する多層的な防御策を導入する
• AIを活用した脅威検知：なりすましや改ざんの試みをリアルタイムで検知するAI技術を活用する
• データ損失防止とゼロトラストポリシーの採用：チャネル間での機密データの流出を制限する

【関連記事】
・世界的なサイバー脅威は横ばい、一方でランサムウェア攻撃と生成AI関連のリスクが高水準に──CPR調査
・サイバー攻撃件数は世界的に同水準で推移、農業分野への攻撃が前年比101％も急増──CPR調査
・2025年6月、グローバルで最も流行したマルウェアは「FakeUpdates」──CPR調査