Microsoft publicó el 30 de octubre de 2026 el análisis de dos intrusiones en las que atacantes se hicieron pasar por soporte de TI en Microsoft Teams, convencieron a empleados de darles control remoto de su equipo y, desde ahí, abusaron de Active Directory Certificate Services (AD CS) para obtener certificados de cuentas privilegiadas, incluida la de un controlador de dominio. En uno de los casos hubo extracción de datos. No se trata de una falla de Teams: el punto de entrada es el usuario y el multiplicador es una configuración débil de AD CS.
En ambos casos el inicio fue igual. Desde tenants externos con nombres que aparentaban ser de la organización, los atacantes escribieron o llamaron por Teams haciéndose pasar por personal de soporte y pidieron al usuario abrir Quick Assist y compartir el código de conexión. Con la sesión activa descargaron un archivo comprimido, lo extrajeron en una carpeta del perfil con prefijo "KB" y ejecutaron scripts con un runtime portátil (Python, Bun o Java). Después hicieron reconocimiento básico: versión de Windows, configuración de red, procesos y conexiones LDAPS y SMB hacia la infraestructura de dominio.
