Свежее из ленты · 27 октября 2026

Услужливый незнакомец «из IT-поддержки»

🚀 Стартовая площадка 🛰️ Орбита 🪐 База на Марсе

Академия Starbound · Киберзащита · Семья и работа · 3 минуты

Настоящая помощь приходит, когда вы сами её позвали.

26 октября 2026 года исследователи Arctic Wolf опубликовали разбор более 400 случаев, где злоумышленники писали сотрудникам во внешнем чате Microsoft Teams под видом IT-поддержки (IT, information technology — информационные технологии) [1]. Имена в духе «IT Support (Internal)» или «IT Service Desk (Matthew)», хотя Teams сам помечает отправителя как внешнего (External) [1]. Часто перед этим почту человека заваливали сотнями рассылок, а «поддержка» появлялась через минуты [1][2]. По данным eSentire, таких попыток более чем в 20 раз больше, чем год назад, а в почти 60% случаев с известным инструментом «помощник» просил открыть Quick Assist — встроенное приложение Windows для удалённой помощи [2][3].

Здесь нет взлома программ: используют вежливость и желание решить проблему [1][4]. Microsoft прямо пишет: пускайте помощника на компьютер, только если вы сами обратились в поддержку [5].

Пара слов, которые стоит знать

Почтовая бомбардировка — ящик за минуты засыпают сотнями писем, чтобы создать панику и спрятать важные уведомления [1][2].
Внешний доступ в Teams — настройка, позволяющая людям из других организаций писать вашим сотрудникам; по умолчанию разрешены все внешние домены [6].
Программа удалённого доступа — законный инструмент, через который другой человек видит ваш экран или управляет компьютером; Quick Assist по умолчанию есть в Windows 11 [7].
Тенант (tenant) — отдельная «организация» в облаке Microsoft 365. Злоумышленники создают одноразовые тенанты, чтобы выглядеть как компания [1].

🚀 Стартовая площадка

Для старшего поколения

Вы читаете новости, и вдруг весь экран закрывает окно: «Компьютер заражён! Позвоните в поддержку Microsoft» и номер телефона. Или звонит вежливый голос: «Мы из технической поддержки, у вас вирус, давайте я помогу» — и просит установить программу. Звучит заботливо. Но настоящие компании так не делают [4][5]. Рычаг: страх и доверие к известному названию.

Скажите спокойно: «Спасибо, я сам(а) свяжусь с поддержкой, если понадобится. До свидания».

Не звоните по номеру из всплывающего окна. Настоящие предупреждения никогда не просят позвонить [4].
Никого не пускайте в компьютер, если вы сами не обращались за помощью [5].
Сомневаетесь — позвоните близкому человеку, которому доверяете, и покажите ему экран вживую.

🛰️ Орбита

Для специалистов на работе

Вторник, 10:15. За пять минут в почту приходит 300 писем. Через минуту в Teams пишет «IT Service Desk 🛠 (Internal)»: «Видим проблему с ящиком, откройте Quick Assist и продиктуйте код». Удобно и вовремя — именно поэтому подозрительно [1][2]. Рычаг: срочность и желание помочь.

Скажите спокойно: «Спасибо! Я открою заявку через наш обычный портал поддержки — подхватите её там».

Смотрите на метку «External» рядом с именем — она важнее любого «(Internal)» в самом имени [1].
Не открывайте Quick Assist и другие программы удалённого доступа по чужой инициативе. Помощь — только по заявке, которую создали вы [5].
Перепроверяйте запрос по второму каналу: номер или портал из внутреннего справочника, а не из чата [2]. Почту завалило — сообщите в настоящую службу безопасности.

Спросите у IT: «Как наша настоящая поддержка связывается с сотрудниками? Ограничен ли внешний чат в Teams?»

🪐 База на Марсе

Для руководителей и публичных людей

Вашему помощнику пишет «IT Support (Internal)»: «Срочно обновляем ноутбук руководителя перед советом директоров, нужен удалённый доступ на 10 минут». Та же схема, ставки выше [1][2]. Рычаг: авторитет и срочность.

Скажите спокойно: «Спасибо. Подтвердим через нашу службу поддержки по внутреннему номеру, и тогда начнём».

Политика: ограничьте внешний чат Teams списком разрешённых доменов; по умолчанию разрешены все [2][6].
Инструменты: уберите или заблокируйте неиспользуемые программы удалённого доступа (включая Quick Assist, если у вас есть другой инструмент поддержки) [7].
Люди: одно правило для всех: «Настоящая IT-поддержка не начинает с просьбы о доступе; всё подтверждаем обратным звонком» [2][5].

Для администратора: центр администрирования Teams → Users → External access → «Allow only specific external domains». Подключения от тенантов только с пробной подпиской по умолчанию заблокированы [6].

Если это случилось с вами

Это бывает с внимательными людьми, и это поправимо.

Сразу завершите сеанс удалённого доступа или отключите интернет [5].
На работе — немедленно сообщите в службу IT или безопасности. Дома — обновите защитную программу, запустите проверку, смените пароли и включите двухфакторную аутентификацию [4].
Сообщите о мошенничестве: форма Microsoft [8]; в США — ReportFraud.ftc.gov [9]. Если платили — сразу позвоните в банк по номеру с обратной стороны карты [4].

Подробнее: Arctic Wolf (англ.) Памятка FTC (англ.)

Видео (англ., 43 секунды): FTC: Tech Support Imposter Scams

«Глупый верит всякому слову, благоразумный же внимателен к путям своим.» — Притчи 14:15

Источники и оговорки

Имя вида «(Internal)» с эмодзи в сцене для специалистов — схема, задокументированная Arctic Wolf [1].
Путь в настройках (Users → External access) взят из актуальной документации Microsoft [6]; сам интерфейс мы не открывали.
Проверено: Орион, 27 октября 2026.

С заботой, команда Starbound

Fresh from the feed · Oct 27, 2026

The helpful stranger “from IT”

🚀 Launch pad 🛰️ Orbit 🪐 Mars base

Starbound Academy · Cyber Defense · Family & work · 3 minutes

Real help comes when you called for it.

On Oct 26, 2026, Arctic Wolf researchers published an analysis of more than 400 cases where attackers messaged employees through Microsoft Teams external chat while posing as IT (information technology) support [1]. Display names looked like “IT Support (Internal)” or “IT Service Desk (Matthew)”, even though Teams itself labels the sender as External [1]. Often the inbox was first flooded with hundreds of sign-up emails, and “support” showed up minutes later [1][2]. eSentire reports these attempts are more than 20 times higher than a year ago, and in nearly 60% of cases where the tool was identified, the “helper” asked the person to open Quick Assist, the built-in Windows remote-help app [2][3].

No software bug is involved; the attack runs on politeness and the wish to get a problem solved [1][4]. Microsoft says it plainly: only let a helper connect if you started the contact with support yourself [5].

A few words worth knowing

Email bombing: flooding an inbox with hundreds of messages in minutes to create panic and bury real alerts [1][2].
External access in Teams: the setting that lets people from other organizations message your staff; by default, all external domains are allowed [6].
Remote access tool: a legitimate app that lets another person see your screen or control your computer; Quick Assist comes installed on Windows 11 [7].
Tenant: a separate “organization” in the Microsoft 365 cloud. Attackers spin up throwaway tenants to look like a company [1].

🚀 Launch pad

For elders new to tech

You’re reading the news and suddenly a window covers the screen: “Your computer is infected! Call Microsoft support” with a phone number. Or a polite voice calls: “This is technical support, you have a virus, let me help,” and asks you to install an app. It sounds caring. But real companies don’t work this way [4][5]. Lever: fear and trust in a well-known name.

Say it calmly: “Thank you, I’ll contact support myself if I need to. Goodbye.”

Don’t call a number from a pop-up. Real security warnings never ask you to call [4].
Don’t let anyone into your computer unless you asked for help first [5].
Not sure? Call someone you trust and show them the screen in person.

🛰️ Orbit

For professionals at work

Tuesday, 10:15 AM. 300 emails land in five minutes. A minute later, “IT Service Desk 🛠 (Internal)” pings you in Teams: “We see an issue with your mailbox. Open Quick Assist and read me the code.” Convenient and right on time, which is exactly why it’s suspicious [1][2]. Lever: urgency and helpfulness.

Say it calmly: “Thanks! I’ll open a ticket through our usual help desk portal; you can pick it up there.”

Look for the “External” label next to the name; it outweighs any “(Internal)” typed into the name itself [1].
Don’t open Quick Assist or any other remote access tool because someone else asked. Help only through a ticket you opened [5].
Verify through a second channel: a number or portal from your internal directory, never from the chat [2]. Inbox suddenly flooded? Tell your real security team.

Ask IT: “How does our real help desk contact staff? Is Teams external chat restricted?”

🪐 Mars base

For executives and public figures

Your assistant gets a message from “IT Support (Internal)”: “Urgent update to the executive’s laptop before the board meeting, we need 10 minutes of remote access.” Same playbook, higher stakes [1][2]. Lever: authority and urgency.

Say it calmly: “Thank you. We’ll confirm through our help desk on the internal number, and then we’ll start.”

Policy: restrict Teams external chat to an allowlist of domains; by default all are allowed [2][6].
Tools: remove or block remote access tools you don’t use (including Quick Assist if you run another support tool) [7].
People: one rule for everyone: “Real IT never opens with a request for access; we confirm everything with a callback” [2][5].

For the admin: Teams admin center → Users → External access → “Allow only specific external domains.” Connections from trial-only tenants are blocked by default [6].

If it happened to you

This happens to careful people, and it’s fixable.

End the remote session right away, or disconnect from the internet [5].
At work, tell your IT or security team immediately. At home, update your security software, run a scan, change passwords and turn on two-factor authentication [4].
Report it: Microsoft’s scam report form [8]; in the US, ReportFraud.ftc.gov [9]. If you paid, call your bank right away on the number on the back of your card [4].