Microsoft Teams、外部ユーザーのQRコード画像をデフォルトで非表示へ　フィッシング対策を10月展開

Microsoftは、Microsoft Teamsで外部ユーザーから送信されたQRコード画像をデフォルトで隠す新たなセキュリティ機能を、2026年10月から展開する予定です。

Microsoft 365 Roadmapの「Microsoft Teams: QR code protection in Teams messaging」（Roadmap ID 570439）によると、組織外のユーザーがTeamsメッセージで送信した画像にQRコードが含まれる場合、その画像は初期状態で非表示となり、受信者が明示的に表示操作を行ってから閲覧・スキャンする仕組みになります。

目的は、QRコードを使ったフィッシングや詐欺に対し、利用者が内容を確認せず反射的にスキャンすることを防ぐための「ワンクッション」を設けることです。

ただし、この機能はQRコードそのものを全面的にブロックしたり、QRコード内のURLが安全であると判定したりする仕組みとして発表されたものではありません。正規のQRコードも利用でき、受信者が表示を選択すれば閲覧できます。

9月7日時点では機能は「In development」で、10月からTargeted ReleaseとGeneral Availabilityの展開が予定されています。

Microsoft TeamsのQRコード保護機能のサマリー

• 【確認済み】MicrosoftはMicrosoft 365 RoadmapにRoadmap ID 570439「Microsoft Teams: QR code protection in Teams messaging」を追加しました。
• 【確認済み】対象は、組織外のユーザーからTeamsメッセージで送られたQRコードを含む画像です。
• 【確認済み】対象画像はデフォルトで隠され、ユーザーが明示的に表示してから閲覧・スキャンする仕様です。
• 【確認済み】目的はQRコードを利用したフィッシングや詐欺のリスク低減です。
• 【確認済み】2026年10月からのロールアウトが予定されています。
• 【確認済み】Targeted ReleaseとGeneral Availabilityの両方が予定されています。
• 【確認済み】対象プラットフォームとしてDesktop、Mac、Android、iOSが示されています。
• 【確認済み】Worldwide（Standard Multi-Tenant）環境が対象です。
• 【重要】QRコードを完全にブロックする機能ではありません。
• 【重要】MicrosoftはRoadmap上で、QRコード内部のURLを安全判定してから表示すると説明しているわけではありません。
• 【確認できず】9月7日時点の公開Roadmapでは、管理者が本機能を無効化できるか、詳細な管理ポリシー、対象ライセンスは明示されていません。
• 【背景】Microsoftの2026年第1四半期のメール脅威調査では、QRコードフィッシングが1月の760万件から3月の1,870万件へ146％増加しました。ただし、この数字はメールで観測された攻撃であり、Teams上の件数ではありません。

項目	内容
機能名	Microsoft Teams: QR code protection in Teams messaging
Roadmap ID	570439
状態	In development
展開予定	2026年10月
Release phase	Targeted Release、General Availability
対象	外部ユーザーから送信されたQRコードを含む画像
動作	画像をデフォルトで隠し、受信者が操作して表示
QRコードの利用	表示後は閲覧・スキャン可能
対象プラットフォーム	Desktop、Mac、Android、iOS
クラウド	Worldwide（Standard Multi-Tenant）
管理者向け設定	公開Roadmapでは詳細未公表
主な目的	QRコードフィッシング、詐欺への対策

外部ユーザーが送ったQRコード画像をデフォルトで隠す

Microsoftが今回追加する機能は、Teamsの外部コミュニケーションを対象としたものです。

組織外のユーザーから送られたメッセージにQRコードを含む画像がある場合、Teamsはその画像を最初から表示せず、受信者が明示的に表示する操作を求めます。

Microsoftは、利用者がQRコードへ意図的に操作するステップを追加することで、フィッシングや詐欺のリスクを下げると説明しています。

外部とのTeamsチャットは、取引先、委託先、パートナー企業などとの連絡に日常的に使われています。一方、外部アカウントや侵害されたアカウントから、正規の業務連絡を装ったメッセージを送るソーシャルエンジニアリングにも悪用されます。

今回の変更は、こうした組織境界を越えて送られてくるQRコードに対し、利用者がそのままスキャンする前に確認操作を挟む設計です。

「QRコードをブロック」する機能ではない

CyberPressは「QR Code Protection to Block Phishing Attacks」と報じていますが、MicrosoftのRoadmapが示している機能はQRコードの全面ブロックではありません。

正確には、外部送信者から届いたQRコード画像を「obscured by default」、つまりデフォルトで隠した状態にします。

利用者が表示を選択すれば、QRコードを見ることもスキャンすることもできます。

したがって、この新機能だけで悪意あるQRコードへのアクセスを完全に防げるわけではありません。

また、MicrosoftはRoadmapの説明で、QRコード内部のURLを解析して悪性判定した場合だけ隠す、とも説明していません。

外部ユーザーから送信されたQRコード画像に対して一律に追加の確認操作を入れる、ユーザーインターフェース上の保護策として理解するのが適切です。

2026年10月から展開予定、現在は開発中

Microsoft 365 Roadmapでは、この機能は9月7日時点で「In development」とされています。

展開開始予定は2026年10月です。

Targeted ReleaseとGeneral Availabilityの双方が予定され、Worldwide（Standard Multi-Tenant）環境が対象となっています。

プラットフォームにはDesktop、Mac、Android、iOSが記載されています。

ただしRoadmapの予定日は確定した提供日ではありません。Microsoft自身もRoadmapについて、リリース予定や仕様は変更される可能性があると説明しています。

また、9月7日時点では、テナント管理者が機能を有効・無効化するための具体的なTeams管理ポリシー、ライセンス要件、例外設定などは公開Roadmapで示されていません。

正式展開前後にMicrosoft LearnやMessage Centerで詳細が追加されるかが確認ポイントになります。

QRコードフィッシングは2026年に急増

今回のTeams機能追加の背景には、QRコードを利用したフィッシング、いわゆる「Quishing」の増加があります。

Microsoft Threat Intelligenceが2026年4月に公表したメール脅威調査では、2026年第1四半期にQRコードフィッシングが急増しました。

Microsoftの観測では、QRコードを利用したフィッシングメールは1月の約760万件から3月には約1,870万件へ増加し、四半期内で146％増となりました。

3月だけでも前月比55％増加しています。

さらに、メール本文へ直接QRコードを埋め込む手法は3月に336％増加しました。全QRコードフィッシングに占める割合は5％と限定的でしたが、添付ファイルを使わずに誘導できる手法として増加しています。

ただし、これらの数字はMicrosoftがメールで観測したフィッシング活動です。

今回のTeams向け新機能が発表されたからといって、「Teamsで1,870万件のQRコード攻撃が起きた」という意味ではありません。

QRコードはリンク先を事前確認しにくい

QRコードがフィッシングに利用される理由の一つは、画像を見ただけではリンク先URLを判断しにくいことです。

通常のメールやチャットでURLが文字列として表示されていれば、利用者はドメインを目視したり、セキュリティ製品がリンク情報を解析したりできます。

QRコードではURLが画像内にエンコードされるため、利用者はスマートフォンなどでスキャンして初めてリンク先を認識する場合があります。

Microsoftはこれまで、Defender for Office 365で画像内QRコードの検出やURL抽出を強化してきました。

2024年に公開した技術解説では、QRコード画像の位置特定、画像からのURL抽出、URLのレピュテーションや意図の解析などを組み合わせてQRコードフィッシングを検出すると説明しています。

今回のTeams向け機能は、メール防御側で行ってきたQRコード解析とは異なり、Teamsのユーザーインターフェースで外部QR画像を最初から見せないことで、利用者自身の不用意な操作を抑える追加レイヤーになります。

Teamsでは外部ユーザーを利用したフィッシング対策を強化

Microsoft Teamsでは、QRコード以外にも外部ユーザーからのフィッシング対策が追加されています。

Microsoftのサポート情報によると、組織外から届いたチャット要求にスパム、フィッシング、なりすましの可能性を検知した場合、Teamsは警告を表示します。

ユーザーは送信者の名前やメールアドレスを確認し、メッセージをプレビューした上で、信頼できる場合だけAcceptを選択できます。不審な場合にはBlockできます。

Microsoftは2026年9月2日の脅威分析でも、外部Teams通信に対して外部テナント表示、Accept／Blockプロンプト、メッセージプレビュー、フィッシングインジケーターなどの保護を適用していると説明しています。

これは、攻撃者がTeams上でITサポート担当者などになりすまし、利用者を外部チャットからリモート操作へ誘導する攻撃が確認されているためです。

セキュリティ対策Labでも、Microsoftが確認したTeams経由のITヘルプデスクなりすまし攻撃を取り上げています。

関連記事：Microsoft、Teamsを悪用したサポート詐欺の詳細な手口を公表

Safe Linksなど既存対策だけではなくユーザー操作にも防御を追加

Microsoft Defender for Office 365では、Teams内のURLに対してSafe Linksを適用し、クリック時の安全性確認を行うことができます。

Teamsには、不審メッセージのユーザー報告、悪意あるURLへの警告、Defenderポータルからの調査・ハンティングなども用意されています。

一方、QRコードは通常のテキストリンクとはユーザー操作が異なります。

PC上のTeamsでQRコードを表示し、個人または業務用スマートフォンでスキャンした場合、利用者はTeamsクライアント上のリンククリックとは別経路でWebサイトへ移動します。

今回の新機能は、QRコードが表示された時点でユーザーへ追加操作を要求することで、このような「PCで受信し、スマートフォンでアクセスする」フィッシングにも警戒を促す狙いがあります。

ただし、QRコードを表示した後の安全性は引き続き利用者と端末側の防御に依存します。

情報システム・Microsoft 365管理者への示唆

今回の機能は2026年10月からの展開予定であり、9月7日時点ではまだ一般提供されていません。

Microsoft 365管理者は、まずRoadmap ID 570439と今後のMessage Center通知を確認し、自社テナントへの展開時期と管理設定を確認する必要があります。

また、機能追加に合わせて「QRコードが隠されている理由」を社内へ周知することも重要です。

利用者が「表示ボタンを押せばMicrosoftが安全確認済み」と誤解すると、新たな確認操作が逆に形式化する可能性があります。

ユーザー教育では、QRコードを表示できることと、安全であることは別であると説明する必要があります。

特に、外部ユーザーから突然送られてきたQRコードが、ログイン、MFA再登録、パスワード変更、請求・支払い、ファイル共有、ITサポートなどを求める場合は、別の信頼できる連絡経路で送信者や内容を確認する運用が有効です。

管理者側では、TeamsのExternal accessとGuest accessを棚卸しし、業務上必要な外部コミュニケーションの範囲を確認してください。

Defender for Office 365を利用している場合は、Teamsに対するSafe Links、ユーザー報告、悪意あるURL検知など既存の保護機能も確認しておく必要があります。

セキュリティ対策Labでは、Teamsで危険なURLを検知・警告する機能についても整理しています。

関連記事：Microsoft、Teamsで危険なURLを検知しブロックする機能を順次提供へ

QRコード対策は単独の機能で完結するものではありません。

外部チャット制御、URL保護、ID・MFA、端末側のWeb保護、利用者教育を組み合わせ、Teamsをメールと同じフィッシング侵入経路として監視することが重要です。

出典

• Microsoft Teams: QR code protection in Teams messaging（Roadmap ID 570439） – Microsoft 365 Roadmap
• Prevent spam or phishing attempts from external chats in Microsoft Teams – Microsoft Support
• Email threat landscape: Q1 2026 trends and insights – Microsoft Security Blog
• How Microsoft Defender for Office 365 innovated to address QR code phishing attacks – Microsoft Security Blog
• Protect your organizations against QR code phishing with Defender for Office 365 – Microsoft Community Hub
• Impersonating IT support: how threat actors turn a remote session into enterprise-wide access – Microsoft Security Blog
• Microsoft Teams Adds QR Code Protection to Block Phishing Attacks From External Users – CyberPress
• Microsoft、Teamsを悪用したサポート詐欺の詳細な手口を公表 – セキュリティ対策Lab
• Microsoft、Teamsで危険なURLを検知しブロックする機能を順次提供へ – セキュリティ対策Lab