Falešná IT podpora v Teams: záplava e-mailů, hovor „helpdesku“ a vzdálený přístup

Jak útok vypadá

Tento útok míří na zaměstnance firem a úřadů, ne na domácnosti. Nepotřebuje žádnou zranitelnost: útočník jen přesvědčí člověka, aby ho sám pustil do počítače. Microsoft ho popsal v květnu 2024 u skupiny Storm-1811, která šířila ransomware Black Basta, a v březnu 2026 zveřejnil další případ, který vyšetřoval jeho tým pro reakci na incidenty (DART).

Co přesně Microsoft zdokumentoval

Storm-1811, 2024. Útočníci přihlašovali e-mailové adresy obětí k velkému množství odběrů. Pak oběti volali jako IT podpora, která problém se spamem vyřeší. Od konce května 2024 psali a volali i přes Microsoft Teams, a to z tenantů, které si sami založili a pojmenovali třeba „Help Desk“, „Help Desk IT“, „Help Desk Support“ nebo „IT Support“. Oběť stiskla Ctrl+Windows+Q, zadala kód od útočníka a povolila sdílení obrazovky. Útočník pak požádal o převzetí ovládání. Následovaly příkazy cURL nebo BITSAdmin, které stáhly dávkové soubory a archivy, a některé skripty se tvářily jako „aktualizace spamového filtru“, která chce zadat heslo. Dál Microsoft popisuje Qakbot, Cobalt Strike, nástroje pro vzdálenou správu ScreenConnect a NetSupport Manager, tunel přes OpenSSH a nakonec nasazení ransomwaru Black Basta po síti přes PsExec.

Firma vyšetřovaná DART, listopad 2025. Útočník v Teams opakovaně volal několika zaměstnancům jako IT podpora. Dvakrát neuspěl, třetí zaměstnanec mu přes Rychlou pomoc povolil vzdálený přístup. Útočník ho pak navedl na podvrženou stránku, kde měl zadat firemní přihlašovací údaje, a ta spustila stahování dalších souborů – mimo jiné instalační balíček MSI, který podstrčil škodlivou knihovnu DLL a navázal spojení s řídicím serverem. Microsoft uvádí, že útok byl krátký, útočník své cíle nesplnil a nezůstal v síti (Microsoft, 16. 3. 2026).

V Česku před podobným scénářem varoval firmy a úřady už v březnu 2021 NÚKIB: falešná „technická podpora Microsoftu“ po vzdáleném připojení chtěla, aby zaměstnanci zadávali příkazy nebo prozradili informace o počítači a kolezích. Podle NÚKIB to vede ke kompromitaci zařízení, krádeži přihlašovacích údajů nebo zašifrování dat ransomwarem. Teams a záplava e-mailů jsou novější varianta téhož.

Jak útok poznat (pro zaměstnance)

• Nejdřív záplava e-mailů, pak hned „pomoc“. Když vás někdo kontaktuje kvůli problému, který jste nikomu nehlásili, je to varovný signál. Skutečné IT o vaší zahlcené schránce obvykle neví dřív než vy.
• Píše nebo volá někdo mimo organizaci. Chat od člověka zvenku vám Teams obvykle nabídne jako žádost, kterou můžete přijmout, zablokovat nebo nahlásit (Microsoft Support). Jméno „Help Desk“ nic nedokazuje.
• Chce kód do Rychlé pomoci nebo instalaci nástroje. Microsoft výslovně radí pouštět pomocníka do počítače jen tehdy, když jste sami kontaktovali podporu Microsoftu nebo vlastní IT.
• Spěchá. „Musím se připojit hned, jinak se schránka zablokuje.“ Microsoft radí nedávat přístup nikomu, kdo tvrdí, že ho naléhavě potřebuje.
• Chce heslo nebo potvrzení přihlášení. Žádná IT podpora po vás nechce heslo v chatu ani do stránky, kterou vám pošle během hovoru. Odkaz si můžete prověřit v Kontrole odkazu.

Co nastavit (pro správce)

Microsoft u obou případů doporučuje hlavně omezit, kdo zvenku může vaše lidi v Teams kontaktovat, a odebrat nástroje pro vzdálený přístup, které firma nepotřebuje. Nastavení najdete v anglickém rozhraní Teams admin center (Microsoft Learn):

1. Externí přístup jen pro důvěryhodné domény. Výchozí stav je „Allow all external domains“ – kontaktovat vás může kdokoli z jakékoli organizace v Microsoft 365. V Users → External access zvolte u „Teams and Skype for Business users in external organizations“ možnost Allow only specific external domains a přidejte domény partnerů, se kterými opravdu komunikujete. Microsoft v případu z roku 2026 doporučuje právě seznam povolených domén.
2. Neřízené účty Teams. Lidé s osobním účtem (Teams zdarma) vás mohou kontaktovat, pokud je zapnuté „People in my organization can communicate with unmanaged Teams accounts“ a zaškrtnuté „External users with Teams accounts not managed by an organization can contact users in my organization“. Když to firma nepotřebuje, vypněte aspoň druhou volbu, ideálně obě.
3. Zkušební tenanty nechte blokované. Komunikace s tenanty, které mají jen zkušební licence, je podle dokumentace ve výchozím stavu zablokovaná (ExternalAccessWithTrialTenants = Blocked). Neměňte to.
4. Blokujte konkrétní útočníky. Funkce „Block specific users from communicating with people in my organization“ zablokuje jednotlivé externí adresy (až 200). S Defenderem pro Office 365 může bezpečnostní tým blokovat domény v Tenant Allow/Block List na kartě „Teams domains“.
5. Rychlá pomoc pryč, pokud ji nepoužíváte. Microsoft doporučuje odinstalovat nebo zablokovat Rychlou pomoc a jiné nástroje pro vzdálenou správu, které firma nepoužívá. Odinstalace přes PowerShell (jako správce): Get-AppxPackage -Name MicrosoftCorporationII.QuickAssist | Remove-AppxPackage -AllUsers. Zablokování: provoz na remoteassistance.support.services.microsoft.com – pozor, tím přestane fungovat i Remote Help.
6. Firemní podpora přes Remote Help. Pokud vzdálenou podporu potřebujete, Microsoft doporučuje Remote Help v Intune: ověřuje pomocníka, řídí role a relace zaznamenává. U Rychlé pomoci naopak sdílející uvidí jen zkrácené jméno pomocníka (křestní jméno a iniciálu příjmení) – pomocníka tedy nijak neověří.
7. Odolné přihlašování. Microsoft radí vyžadovat pro důležité aplikace přihlášení odolné proti phishingu (Conditional Access, síla ověření). Základ je dvoufázové ověření u všech účtů.

Na co se dívat v detekci

Microsoft u kampaně Storm-1811 uvádí upozornění Defenderu for Endpoint „Suspicious activity using Quick Assist“ a související detekce stahování přes curl a BITSAdmin, nástrojů NetSupport Manager a Cobalt Strike a chování ransomwaru. Jako vysoce rizikovou kombinaci berte: náhlý příval e-mailů jednomu člověku → externí chat nebo hovor v Teams → spuštění Rychlé pomoci nebo jiného nástroje pro vzdálený přístup → stahování skriptů. Pokud sbíráte indikátory z hlášení a logů, pomůže IOC extraktor.

Útočník se už připojil?

1. Ukončete relaci a odpojte počítač od sítě. Microsoft radí při podezření okamžitě relaci ukončit. Vytáhněte síťový kabel a vypněte Wi-Fi, ale počítač nevypínejte – pro prošetření jsou důležité stopy v běžícím systému.
2. Hned volejte IT nebo bezpečnostní tým. Řekněte, kdy se to stalo, jaké jméno se v Teams zobrazilo, co útočník dělal a co jste zadali. Zprávy v Teams nemažte.
3. Heslo měňte z jiného zařízení. Pokud jste zadali přihlašovací údaje, změňte heslo z telefonu nebo jiného počítače a nechte IT odhlásit všechny relace. Ve zdokumentovaných případech útočníci kradli i přihlašovací relace, samotná změna hesla proto nemusí stačit. Obecný postup popisujeme v návodu Zadal jsem údaje na podvodné stránce.
4. IT: berte to jako incident, ne jako omyl uživatele. Zkontrolujte zařízení (nové služby, naplánované úlohy, nainstalované nástroje pro vzdálenou správu, spojení ven), přihlášení účtu a pravidla schránky. Útočníka zablokujte v Teams a varujte ostatní – v případu z roku 2026 zkoušel útočník postupně víc zaměstnanců.

Kam to nahlásit

• Uvnitř firmy: IT nebo bezpečnostnímu týmu, a to i když jste útočníka nepustili dovnitř. Další kolega může mít méně štěstí.
• V Česku: incident můžete nahlásit přes formulář CSIRT.CZ; pokud vznikla škoda, policii (158).
• Na Slovensku: přes formulář SK-CERT, při škodě polícia (158).
• Microsoftu: zneužití Rychlé pomoci přes formulář pro podvody s technickou podporou, na který odkazuje dokumentace Rychlé pomoci (zdroje níže).

Podobný trik míří i na domácnosti – „Microsoft“ volá, že máte virus. Ten popisujeme v návodu Falešná technická podpora „Microsoftu“. Pro firmy se hodí i návod Dodavatel hlásí změnu čísla účtu.