Microsoft Teams、QRコード保護機能を追加しフィッシングや詐欺をブロック

Microsoftは、外部ユーザーから送信されたQRコードにぼかしを入れる新しいセキュリティ機能をTeamsメッセージング向けに開発しています。この対策は、悪意あるQRコードキャンペーンに関連するフィッシングや詐欺のリスクを組織が軽減できるようにすることを目的としています。

Microsoftセキュリティアップデート

Microsoft 365ロードマップID 570439に掲載されているこの機能は現在開発中で、2026年10月のロールアウトが予定されています。Microsoft Teamsでは、Android、iOS、デスクトップ、Macの各プラットフォームにおいて、全世界の標準マルチテナントクラウド環境で利用可能になります。

Microsoft TeamsのQRコード保護機能

今回の保護機能は、外部の送信者がTeamsメッセージを通じて共有する画像に埋め込まれたQRコードを対象としています。Teamsは、QRコードを即座に表示するのではなく、デフォルトで画像コンテンツにぼかしを入れます。

画像を確認したいユーザーは、QRコードを閲覧またはスキャンする前に、意図的な操作を行ってQRコードを表示させる必要があります。この追加のステップは、特に攻撃者が緊急性の演出やなりすまし、ソーシャルエンジニアリングの手口を使って標的にコードのスキャンを迫るような場合に、衝動的な行動を食い止めるために設計されています。

「クイッシング(quishing)」とも呼ばれるQRコードフィッシングは、悪意ある接続先をシンプルな画像の中に隠せることから、ソーシャルエンジニアリングの手法としてますます効果的になっています。

攻撃者は、認証情報を窃取するページやマルウェア配布サイト、偽の認証ポータル、詐欺目的の支払いページへのリンクをQRコードの中に埋め込むことができます。通常のURLとは異なり、QRコードはユーザーがやり取りする前にその内容を評価しにくいという特徴があります。

被害者が個人の携帯端末でこの画像をスキャンすると、企業のブラウザ制御やエンドポイント保護、メールセキュリティフィルタを迂回してしまう可能性があります。

Teamsに導入される今回の新しい仕様は、外部の連絡先から送られてきたQRコードをユーザーがスキャンする前に、ひと手間かかる仕組みを設けるものです。これによって脅威そのものがなくなるわけではありませんが、この保護機能は、送信者の確認やメッセージの文脈の見極め、想定外のコードのスキャンを避けることをユーザーに促す効果があります。

この変更により、セキュリティチームはコラボレーションプラットフォーム経由で仕掛けられるQRベースのフィッシングの成功率を下げられる可能性があります。この機能は、外部アクセスポリシーやゲスト制御、メッセージ監視、ID保護、ユーザー向け意識啓発トレーニングといった既存のTeamsセキュリティ機能を補完するものです。

組織は、この機能のロールアウト前にTeamsの外部通信設定を見直し、迷惑メッセージとして届くQRコードに関連するリスクを従業員が理解しているかどうかを確認しておく必要があります。

セキュリティチームは、見知らぬ、あるいは想定外の外部連絡先から届いたQRコードは悪意あるものである可能性があるとして扱うよう、ユーザーに助言すべきです。コードを表示・スキャンする前に、従業員は信頼できる別の連絡手段を通じて送信者を独自に確認し、QRコードから生成されたリンクをたどった後に企業の認証情報を入力しないようにすべきです。

Microsoftはこの機能を、ターゲットリリースと一般提供(General Availability)の両方向けに指定しています。ロードマップの項目は2026年9月3日に追加・最終更新されており、展開は10月に開始される見込みです。

アクティブなマルウェアやフィッシングの発生から24時間以内にSOCを最新の状態に保ちましょう。早期検知でインシデントを防ぐANY.RUNをぜひお試しください。