Microsoft、Teams偽装からAD CSを悪用する侵入を分析―証明書による権限奪取

Microsoftは2026年10月30日、Teamsで社内サポートを装い、Active Directory Certificate Services（AD CS）を悪用した2件の侵入を公表しました。利用者がQuick Assistなどの遠隔支援を許可したことが入口で、Teams自体の脆弱性を突いた攻撃ではありません。

一方の事例では、証明書の申請者が本人以外の識別情報を指定できるなどの設定不備「ESC1」を悪用しました。攻撃者は特権アカウントの証明書を取得し、認証情報の複製やファイル持ち出しへ進みました。自動封じ込めの対象から除外された特権アカウントが、侵入後も使える状態で残っていました。

もう一方は、ドメインコントローラーのNTLM認証を証明書登録サービスへ中継する「ESC8」です。攻撃者はドメインコントローラーの証明書を取得して認証に使いましたが、警告を受けた利用組織が端末を隔離した後は、さらなる進行は観測されませんでした。

Microsoftは、遠隔支援の依頼を既知の社内経路で確認し、証明書テンプレートの申請権限や登録サービスの中継防止設定を見直すよう案内しています。不正な証明書と発行済みKerberosチケットも調査対象です。最初の端末の再構築やパスワード変更だけでは、これらの認証経路を無効にできません。