Accesso “guest” in Microsoft Teams può disattivare la protezione di Microsoft Defender for Office 365 quando si entra in tenant esterni

Ricercatori di sicurezza hanno evidenziato un’importante falla nell’uso dell’accesso “guest” in Teams: quando un utente accetta un invito per unirsi come ospite a un tenant Microsoft 365 esterno, le protezioni di Defender per Office 365 non seguono l’utente — al contrario, la protezione dipende interamente dal tenant che ospita la chat. 

Secondo il ricercatore della società Ontinue, Rhys Downing, «quando gli utenti operano come guest in un altro tenant, le loro protezioni sono determinate interamente da quell’ambiente ospite, non dalla loro organizzazione di origine». 

La situazione si è aggravata con il recente rilascio di una nuova funzionalità in Teams (etichettata come “MC1182004”) che consente a un utente di avviare una chat con qualsiasi indirizzo e-mail, anche se il destinatario non usa Teams. Questo aggiornamento — previsto essere attivo globalmente entro gennaio 2026 — aumenta la flessibilità collaborativa, ma amplia anche il perimetro di rischio. 

Se il destinatario accetta l’invito come ospite, la comunicazione si svolge interamente nel tenant esterno, con le sue regole di sicurezza. Se quel tenant non dispone di Defender o ha disattivato le sue funzionalità di protezione (come Safe Links, Safe Attachments, scansione malware e ZAP), l’utente si ritrova in una "zona senza protezione". Ciò consente potenziali attacchi di phishing, distribuzione di malware o link malevoli, senza che le difese della sua organizzazione scattino. 

Nel caso di un attacco, un utente potrebbe ricevere una mail — generata legittimamente dall’infrastruttura Microsoft — che invita a unirsi a una chat. Essendo la mail legittima, bypassa controlli SPF, DKIM e DMARC, risultando difficile da rilevare come malevola. Se l’invito viene accettato, l’organizzazione dell’utente potrebbe non essere consapevole che la comunicazione ora avviene in un tenant controllato da un attaccante. 

Raccomandazioni per mitigare il rischio

• Limitare le impostazioni B2B per permettere inviti guest solo da domini affidabili. 
• Implementare controlli di accesso inter-tenant e regole restrittive per la comunicazione esterna, se non necessaria. 
• Sensibilizzare gli utenti: evitare di accettare inviti Teams da mittenti sconosciuti o sospetti.

SOC