ฟีเจอร์ Chat with Anyone บน Teams สามารถเป็นช่องโหว่ให้ผู้ใช้งาน ถูก Phishing

ในการอัปเดตเวอร์ชันใหม่ ๆ ของแอปพลิเคชันต่าง ๆ นั้น ผู้พัฒนามักจะมีการเสริมสร้างฟีเจอร์ใหม่ ๆ ให้ตัวแอปพลิเคชันดูน่าสนใจ น่าใช้งานมากขึ้นอยู่เสมอ แต่หลายครั้ง บางฟีเจอร์ที่เพิ่มมากลับสร้างความกังวลใจให้กับหลาย ๆ ฝ่าย ดังเช่น ฟีเจอร์บนข่าวนี้

จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการที่ทางไมโครซอฟท์ได้ทำการอัปเดตแอปพลิเคชันสำหรับการประชุมออนไลน์อย่าง Microsoft Teams ในช่วงต้นเดือนพฤศจิกายนที่ผ่านมา ให้กับกลุ่มผู้ที่ถูกคัดเลือก และอัปเดตใหม่นี้จะมีการปล่อยให้ใช้งานกันทั่วไปในช่วงเดือนมกราคม ค.ศ. 2026 (พ.ศ. 2569) ซึ่งมาพร้อมกับฟีเจอร์ใหม่ "Chat with Anyone" หรือ คุยกับใครก็ได้ โดยเปิดโอกาสให้ผู้ใช้งานสามารถส่งอีเมลเชิญ (Invite Email) ผ่านทางฟีเจอร์นี้ ไปยังคนที่ต้องการจะพูดคุยด้วย ให้สามารถใช้งานได้ถึงแม้ผู้ใช้งานคนนั้นจะไม่ได้เป็นสมาชิกของบริการ Teams ก็ตาม โดยฟีเจอร์นี้จะครอบคลุมผู้ใช้งานในทุกเวอร์ชัน ไม่ว่าจะเป็น Android, Desktop, iOS, Linux และ macOS ทำให้การสื่อสารกับบุคคลภายนอกนั้นเป็นไปอย่างไร้รอยต่อ

ทว่า ฟีเจอร์ใหม่นี้ก็สร้างความกังวลใจให้กับผู้เชี่ยวชาญ นั่นคือ สามารถเปิดทางให้นำไปสู่การทำ Phishing เพื่อเข้าสู่ระบบขององค์กรที่ใช้งาน Microsoft Teams ได้ ซึ่งสามารถเกิดขึ้นได้หลายรูปแบบ เช่น

• แฮกเกอร์ส่งอีเมลคำเชิญปลอม หลอกให้กดลิงก์ที่ทำเสมือนลิงก์สำหรับเข้าใช้งาน Teams แต่กลับนำไปสู่การดาวน์โหลดมัลแวร์ลงมาติดตั้งบนเครื่องแทน
• ในฝั่งผู้ใช้งาน อาจส่งคำเชิญไปยังเมลของลูกค้า หรือคู่ค้า ที่อีเมลถูกแฮกเกอร์ทำการแฮกไปใช้งาน กลายเป็นการเชิญแฮกเกอร์เข้ามาหลอกลวงพนักงานให้ทำตามคำขอ จนนำไปสู่การเปิดเผยความลับทางธุรกิจ หรือ หลอกให้ติดตั้งมัลแวร์ลงบนระบบของบริษัท
• หรือ ผู้ที่เข้ามาใช้งานอาจเป็นคู่ค้าจริง แต่กลับไม่ทราบว่าไฟล์ที่ตนส่งให้บน Teams ที่ได้เข้ามาคุยกับทางบริษัทผ่านทางฟีเจอร์นี้นั้นมีมัลแวร์อยู่บนไฟล์ (ที่ได้รับมาหลังจากการถูก Phishing มาอีกทอด) นำมาสู่การติดตั้งมัลแวร์บนระบบของบริษัทในท้ายที่สุด

ซึ่งทางไมโครซอฟท์ก็ทราบความกังวลใจดังกล่าวดี จึงได้เปิดช่องให้ผู้ดูแลระบบ (Admin หรือ Administrator) ให้สามารถปิดฟีเจอร์ดังกล่าวได้ โดยสามารถปิดได้ด้วยการใช้ PowerShell เพื่อตั้งค่า UseB2BInvitesToAddExternalUsers ที่อยู่ภายใน TeamsMessagingPolicy ให้เป็น False ก็จะสามารถปิดฟีเจอร์การเชิญบุคคลภายนอกให้เข้ามาใช้งานได้