# ITサポートを名乗る連絡。遠隔操作の承認前に確認する

Canonical: https://security.qutori.jp/analysis/microsoft-helpdesk-adcs-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-11-01

Teamsで支援担当者を装い、承認された遠隔操作から証明書の悪用へ進んだ2事例をMicrosoftが分析した。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-11-01 / 本記事更新：2026-11-01 / 原文確認：2026-11-01。

原文発行：Microsoft Security Research / 原文の分析者・著者：Sagar Patil / Jesse Birch / Tal Tzhori / 原文公表：2026-10-30。

観測期間・対象時点：10月30日の報告に含まれる2事例。発生時期の詳細は補完しない。

報告の対象範囲：Microsoftが調査した事例。全企業の発生率ではない。

## 観測・報告されたこと

一方では封じ込めの対象外だった特権アカウントがデータ持ち出しに使われた。別事例は端末隔離後の進展が観測されなかった。

- 両事例は主にQuick Assistでの接続後、AD CSの設定を悪用した。

## 分析者の見解

端末やパスワードへの対処だけでは発行済み証明書を無効にできず、認証の経路全体を調べる必要があると指摘する。

## 自社で確認すること

突然の遠隔支援は、既知の社内窓口で本人確認してから許可する。AD CSの運用担当に、証明書の発行権限と封じ込め対象の例外を確認する。

原文の分析に基づく編集部の確認案

## 読み取るときの注意点

- Teams自体の脆弱性を悪用した事例ではない。特定の攻撃者への帰属はしていない。

## 原文

- [Microsoft Security Research — From help desk impersonation to AD CS abuse: Investigating ESC1 and ESC8 intrusion paths](https://www.microsoft.com/en-us/security/blog/2026/10/30/help-desk-impersonation-ad-cs-abuse-investigating-esc1-esc8-intrusion-paths/)

一次資料の要点を独自の日本語で再編集。全文翻訳・直接引用ではない。「自社で確認」は編集部による一般的な確認案。分析者の見解と確認された事実を分ける。地域は主な発信地域で、攻撃元を示さない。

- [ニュース・海外分析一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)