外部ユーザーが関与するチャットにおけるフィッシングや詐欺のリスクを軽減する、新たなQRコード安全機能が発表されました。
Microsoftの発表によると、この機能はデフォルトで、外部参加者から送信されたQRコードを含む画像を隠す仕様になっています。受信者はコードを閲覧・スキャンする前に、画像を明示的に表示させる操作を行う必要があります。
この機能はMicrosoft 365ロードマップ上で開発中と記載されており、2026年10月にロールアウトが開始される予定です。
Microsoftはこのアップデートにロードマップ ID 570439を割り当てており、Teamsのデスクトップ版、Web関連のデスクトップ体験、Android、iOS、Macの各プラットフォームで世界的に提供する計画です。
QRコードは、スキャンされるまで宛先URLをユーザーから隠すことができるため、ソーシャルエンジニアリングの配信手段として利用が拡大しています。
攻撃者は、一見普通の画像や請求書、オンボーディング資料、サポート依頼、共同作業用メッセージに見えるものの中に、悪意あるQRコードを埋め込むことができます。
Microsoftが計画しているTeams向けの保護機能は、外部送信者から受け取ったQRコードに対してユーザーが行動を起こす前に、一手間を加える仕組みとなっています。QR画像をチャットに即座に表示するのではなく、Teamsはデフォルトでこれを隠します。
内容を確認したいユーザーは、閲覧やスキャンの前に画像を明示的に表示させる必要があります。このアプローチは、ユーザーがQRコードベースのコンテンツに関わる前に、一呼吸置くことを促す狙いがあります。
このひと手間により、従業員はそのメッセージが自組織の外部から届いたものであることに気づきやすくなり、送信者が信頼できるかどうかを再考した上で、モバイル端末でコードをスキャンする前に文脈を検証できるようになります。
この保護機能は、Teamsのメッセージ内で外部ユーザーが共有したQRコード画像に特に適用されます。外部とのやり取りには、ゲストユーザー、パートナー組織、ベンダー、業務委託先、その他受信者のテナント外にいる連絡先との会話が含まれます。
外部送信者に焦点を当てることで、Microsoftは企業のコラボレーション環境における一般的な信頼境界を対象としています。
外部とのメッセージのやり取りは業務運営に不可欠ですが、なりすましの試みや、侵害されたアカウント・攻撃者が管理するアカウントから配信される悪意あるコンテンツにユーザーをさらすリスクもはらんでいます。
この機能は、ユーザーが正規のQRコードにアクセスすることを妨げるものではありません。むしろ、外部から届いたQR画像に対するデフォルトの挙動を変更し、受信者が表示を選択するまでコンテンツを隠す仕組みになっています。
Microsoftは、Targeted ReleaseとGeneral Availabilityの両フェーズを通じて、2026年10月に展開を開始する見込みです。この機能はWorldwide Standard Multi-Tenantクラウド環境で提供されます。
組織は、展開開始前にTeamsの外部アクセスおよびゲストアクセスの設定を見直しておく必要があります。
セキュリティチームは、外部の連絡先からのQR画像がなぜ隠された状態で表示されるのか、また予期しないコードを表示・スキャンする前になぜ検証すべきなのかを説明するため、ユーザー向けの注意喚起ガイダンスの更新も検討するとよいでしょう。
今回の新たな制御機能は、フィッシングキャンペーンが従来のメールリンクや添付ファイルにとどまらず拡大を続ける中で、Teamsメッセージングにもう一段の保護層を加えるものです。
QRコードとのやり取りをより意図的なものにすることで、Microsoftはユーザーが関連リスクを認識する前に欺瞞的なコンテンツをスキャンしてしまう可能性を減らすことを目指しています。
セキュリティチームに、不審な活動を迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/microsoft-teams-adds-qr-code-protection/
