Microsoft разширява сигурността в Teams, за да открива зловредни връзки, скрити в QR кодове, и да предупреждава потребителите след доставянето на дадено съобщение. Обновяването добавя проверки на QR кодове към съществуващите защиты в Microsoft Defender for Office 365, предоставяйки на потребителите по-ясни предупреждения, а на екипите по сигурност — повече данни за разследване на съмнителни съобщения.
Според известието в Message Center MC1490905, публикувано на 7 октомври, глобалното внедряване започва в началото на октомври 2026 г. и се очаква да приключи до началото на ноември. Функцията се прилага за организации, използващи Microsoft Teams с Defender for Office 365, и не изисква отделна настройка от крайните потребители.
Новата защита проверява съобщенията в Teams, съдържащи QR кодове, след тяхното доставяне. Defender извлича уеб адресите, съхранени в тези кодове, и проверява дали те водят към зловредно съдържание. Ако бъде открит опасен URL адрес, Teams показва предупреждение върху засегнатото съобщение както във вътрешни, така и във външни разговори.
Как работи защитата срещу зловредни QR кодове в Teams
Примерните екранни снимки на Microsoft показват предупреждения, че съобщението съдържа връзка, която може да бъде вредна. Друг пример показва публикация в канал, отбелязана като блокирана поради потенциално вредно съдържание. Тези примери показват два възможни резултата — видимо предупреждение или блокирано съобщение — а не обещание, че всеки съмнителен код ще бъде премахнат.
Организации с Defender for Office 365 Plan 1 или Plan 2 и активирана функция Zero-hour Auto Purge за Teams могат също да блокират отговарящи на условията зловредни вътрешни съобщения. Известна като ZAP, тази съществуваща функция действа върху вредни съобщения след доставянето им. Документацията за защита на Teams на Microsoft обяснява как администраторите могат да прегледат нейните настройки и изключения.
Фишингът с QR кодове, често наречен „quishing“, вгражда зловреден уеб адрес в изображение вместо в стандартна текстова връзка. Киберпрестъпниците използват заявки за потвърждение на профили, преглед на документи или решаване на технически проблеми, за да насърчат сканирането. След това жертвите могат да стигнат до фалшиви страници за вход, които крадат техните пароли.
Cybersecurity News по-рано отрази фишинг кампания с QR кодове в Microsoft 365, при която фалшиви съобщения от Microsoft или от ИТ отдела подтикваха потребителите да сканират кодове с телефоните си. Връзките пренасочваха към копирани страници за вход. Проверката на адреса в изображението помага на защитниците да оценят крайната дестинация, вместо да разчитат на текста около него.
Това обновление се различава от по-рано съобщената защита срещу QR кодове в Teams за външни податели, която скрива QR изображенията, докато потребителите не изберат да ги разкрият. Новата възможност на Defender оценява извлечените URL адреси след доставката и реагира при идентифициране на зловредно съдържание. Двата контрола се справят с различни етапи на експозиция.
Екипите по сигурност ще получат и видимост чрез Advanced Hunting в Microsoft Defender XDR. Адресите, извлечени от QR кодове, ще се показват в таблицата MessageUrlInfo, като QRCode ще бъде записано в колоната UrlLocation. Анализаторите могат да използват тази стойност, за да идентифицират URL адреси, намерени в QR изображения по време на разследвания.
Microsoft препоръчва преглед на съществуващите настройки за защита на Teams и конфигурацията на ZAP, информиране на персонала по операции по сигурността (SOC) за новите данни за търсене и актуализиране на процесите по разследване, за да включат откриването на QR кодове. Не са необходими действия за активиране на подобрението като част от съществуващата защита на URL адреси в Teams.
Времето остава важно. Microsoft описва това като защита след доставката, а не като гаранция, че всеки вреден QR код ще бъде блокиран, преди потребителите да го видят. Служителите трябва да продължат да потвърждават неочаквани заявки за сканиране чрез доверени канали, особено когато съобщенията ги подканват да се влязат или да отстранят спешен проблем с служебния си профил.