Teamsの外部チャットを使ったなりすましを防ぐ｜外部アクセスを許可ドメインに絞り、ゲストと会議の設定を見直す
Teams の外部アクセスは、既定ですべての組織とチャットできる設定になっているため、許可するドメインを絞るだけで、外からのなりすましの入り口を大きく狭められます。
外部アクセスは、相手を自社に招くゲストアクセスとは別の仕組みで、相手は自分の組織のアカウントのまま、自社の利用者に直接チャットや通話を届けられます。攻撃者はこれを使い、自分で用意した組織からヘルプデスクを名乗って連絡してきます。
ゲストの棚卸しはしていても、外部アクセスは既定のまま、という組織は少なくありません。次の点は見落とされがちです。
- 特定のドメインを「ブロック」する方式では、攻撃者が新しく作った組織からの連絡は止められない
- 外部アクセスで止めたドメインの人も、匿名での参加が許されていれば、会議には入れる
- 個人向けの Teams のアカウントとのチャットは、組織のドメインとは別の設定で決まる
この記事では、Teams で社外とつながる3つの方法の違いから始めて、外部アクセスを使った誘い出しの手口、外部アクセスの絞り方、届いたメッセージの守り方、ゲストアクセスと会議の設定の見直しまでを、Microsoft Learn と Microsoft Security ブログの公開情報をもとに解説します。
株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。
Teams で社外とつながる3つの方法｜ゲストアクセス・外部アクセス・共有チャネル
Teams で社外の人とやり取りする方法は3つあります。相手のアカウントがどこにあるか、何ができるか、どこで設定するかが、それぞれ違います。
| 方法 | 相手のアカウント | できること | 設定する場所と既定 |
|---|---|---|---|
| ゲストアクセス | 自社の Microsoft Entra ID に、ゲストのアカウントを作る | 招かれたチームやチャネルに参加し、ファイルも扱える | Microsoft Entra 管理センターの外部コラボレーションの設定と、Teams 管理センターのゲスト アクセス |
| 外部アクセス | 相手の組織のアカウントのまま | チャット・通話・会議。自社のチームやファイルには入れない | Teams 管理センターの外部アクセス。既定は「すべての外部ドメインを許可」 |
| 共有チャネル | 相手の組織のアカウントのまま（B2B 直接接続） | 共有された特定のチャネルだけで共同作業する | Microsoft Entra のテナント間アクセスの設定。既定はブロックで、双方が許可して初めて使える |
先に絞るのは外部アクセス
ゲストアクセスと共有チャネルは、自社の誰かが招いたり、双方の組織が許可したりしないと始まりません。外部アクセスだけは、既定のままだと、自社の利用者のメールアドレスを知っている人なら誰でも、チャットを送れます。
誘い出しの入り口になるのは、招かなくても届く外部アクセスです。この記事では、まず外部アクセスを絞り、そのあとゲストと会議の設定を見直す順で解説します。
外部アクセスを使った誘い出し｜ヘルプデスクを名乗るチャット
Microsoft Security ブログは2024年に、ランサムウェアを使う攻撃者が Teams の外部アクセスを悪用した例を報告しました。攻撃者は、自分で作った組織に「Help Desk」「IT Support」といった表示名のアカウントを用意し、標的の社員にチャットを送ったり、電話をかけたりしていました。流れは次のとおりです。
- 連絡する：社内のヘルプデスクを名乗り、Teams の外部チャットや通話で連絡する。迷惑メールが急に増えたところに「対応します」と声をかける例もあった
- 操作させる：Windows に入っている遠隔支援の機能を起動させ、画面の共有から、パソコンの操作まで許可させる
- 入り込む：操作を許されたパソコンに不正なプログラムを入れ、社内のほかのパソコンへ広げ、最後にランサムウェアを動かす
メールのフィッシングと違い、偽のサイトもパスワードの入力も要りません。社員が「社内のサポートだ」と信じて画面の操作を許せば、それで足ります。Microsoft はこれを受けて、該当するアカウントと組織を停止しています。
「外部」の表示だけに頼らない
外部の組織から初めてチャットが届くと、Teams は相手が「外部」であることを示し、受け入れるかブロックするかを利用者に選ばせます。Microsoft は、この表示を確かめることと、チャットでアカウントの情報を伝えたりサインインを承認したりしないことを、利用者に教えるよう勧めています。
ただ、攻撃者は急いで対応しないと困る状況を作ってから連絡してきます。利用者の注意だけに頼らず、そもそも知らない組織からは届かない設定にしておくことが、いちばん確実な備えです。
（2026年11月更新）
補足：Microsoft Security ブログは2026年にも、同じ手口で入り込み、社内のファイルを持ち出した例を報告しています。2026年4月〜6月の集計では、Teams を使ったフィッシングのうちヘルプデスクを装う割合が22%から31%に増え、半数以上が「サポート」などの汎用の表示名を使っていました。
外部アクセスを絞る｜許可したドメインだけと通信する
外部アクセスは、Teams 管理センターの「ユーザー」→「外部アクセス」で設定します。外部の組織とのやり取りは、次の4つから選びます。
- すべての外部ドメインを許可：既定の設定。外部アクセスを有効にしているすべての組織とやり取りできる
- 特定の外部ドメインのみを許可：許可の一覧に入れたドメインとだけやり取りできる。ほかはすべて止まる
- 特定の外部ドメインのみをブロック：ブロックの一覧に入れたドメインだけを止める。ほかはすべて通る
- すべての外部ドメインをブロック：外部の組織とは一切やり取りしない
ブロックする方式では、新しい組織は止められない
前の章の攻撃者は、連絡のために自分で組織を作っていました。ブロックする方式は、知られたドメインを後から一覧に足していくため、新しく作られた組織からの連絡は止められません。取引先が決まっている組織では、許可する方式に変え、やり取りする取引先のドメインだけを一覧に入れます。
許可した相手とやり取りするには、相手の組織も自社のドメインを許可している必要があります。また、ブロックする方式では、ドメインを止めてもそのサブドメインは既定では止まりません。
組織の設定とユーザーのポリシーの両方で決まる
外部アクセスには、組織全体の設定と、ユーザーごとの外部アクセス ポリシーがあり、どちらも既定でオンです。利用者が外部とやり取りできるのは、両方が許可しているときだけです。
外部とのやり取りを一部の部署に限りたいときは、組織全体の既定のポリシーで外部アクセスをオフにし、オンにしたポリシーを作って、その部署の人に割り当てます。
個人向けの Teams と、試用版だけの組織
組織に属さない個人向けの Teams のアカウントとのやり取りは、外部のドメインとは別のスイッチで決まります。業務で使っていなければオフにします。使う場合でも、相手から先に連絡を始められる設定はオフにでき、そうすると相手はメールアドレスで自社の利用者を探せなくなります。
有償のライセンスを持たない、試用版だけの組織とのやり取りは、既定でブロックされています。攻撃者がすぐに作れる組織を使わせないための設定なので、特別な理由が無ければ既定のままにします。
特定の外部ユーザーをブロックする
許可したドメインの中に、やり取りを止めたい人がいる場合は、外部のユーザーを個別にブロックできます。この機能は既定でオフで、外部アクセスの設定でオンにしてから、メールアドレスで最大200人まで登録します。ブロックした人は、既にあるチャットからも外れます。
（2026年11月更新）
補足：Defender for Office 365 の「Teams の攻撃面を減らす」手順でも、外部アクセスを特定のドメインのみに絞る設定が挙げられています。また、外部アクセス ポリシーで、ユーザーやグループごとに許可・ブロックするドメインを指定できるようになりました（1ポリシーにつき100件まで）。
届いたメッセージを守る｜URL の警告と Defender for Office 365
許可した取引先のアカウントが乗っ取られれば、そこから悪意のあるリンクやファイルが届きます。外部アクセスを絞ったうえで、届いたメッセージを確かめる仕組みも重ねます。Teams のライセンスで使える機能と、Microsoft Defender for Office 365 で加わる機能は次のとおりです。
| 機能 | Teams の全ライセンス | Defender for Office 365 Plan 1 | Defender for Office 365 Plan 2 |
|---|---|---|---|
| ファイルの組み込みのウイルス対策（SharePoint・OneDrive・Teams） | 〇 | 〇 | 〇 |
| 悪意のある URL の警告（配信後48時間まで） | 〇 | 〇 | 〇 |
| 安全なリンク（クリックしたときの確認） | ✕ | 〇 | 〇 |
| 安全な添付ファイル（SharePoint・OneDrive・Teams） | ✕ | 〇 | 〇 |
| 利用者による Teams のメッセージの報告 | ✕ | 〇 | 〇 |
| 配信後の自動削除（ZAP） | ✕ | ✕ | 〇 |
全ライセンスで使える URL の警告
2025年11月から、Teams のメッセージに含まれる既知の悪意のある URL に、警告が付くようになりました。配信から48時間のうちに悪意があると分かった URL にも、後から警告が付きます。社内と外部のチャットとチャネルが対象で、Teams 管理センターのメッセージングの設定で管理します。
Defender for Office 365 は、有効になっているかを確かめる
Defender for Office 365 を契約していても、Teams 向けの保護が有効になっているとは限りません。安全な添付ファイルはグローバル設定の「SharePoint、OneDrive、Microsoft Teams の Defender for Office 365 を有効にする」がオンか、安全なリンクは各ポリシーで Teams のリンクを確認する設定がオンかを確かめます。
利用者が不審なメッセージを報告できるようにしておくと、ほかの社員に同じ相手から届いていないかを、管理者が調べるきっかけになります。
遠隔操作の道具も絞っておく
ヘルプデスクを名乗る誘い出しは、リンクもファイルも使わずに、遠隔支援の機能を起動させて入り込みます。メッセージの保護だけでは止まりません。遠隔操作の道具を使ってよい人と端末を決め、それ以外では使えないようにします。端末の保護の設定は、Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）で解説しています。
（2026年11月更新）
補足：2026年1月から、Teams の ZAP は Defender for Office 365 Plan 1 でも使えるようになりました。また、2026年7月から Microsoft 365 E3 と Office 365 E3 に Plan 1 が含まれています。メールの保護とあわせてMicrosoft 365のメールセキュリティ対策（Defender for Office 365編）で解説しています。
ゲストアクセスを管理する｜招く人と、残っているゲストを見直す
ゲストは、自社の Microsoft Entra ID に作られるアカウントです。チームに招かれると、そのチームのチャネルやファイルに入れます。誰がゲストを招けるか、どのドメインに招待を送れるかは、Microsoft Entra 管理センターの「外部コラボレーションの設定」で決まります。
既定では、ゲストを含む組織内の全員がゲストを招待でき、招待先のドメインにも制限がありません。取引先が決まっている組織では、招待できる人を管理者と「ゲスト招待元」のロールを持つ人に絞り、招待を送れるドメインを指定します。
残っているゲストを棚卸しする
案件が終わったあとも、ゲストのアカウントとチームへの参加は残ります。Microsoft 365 管理センターの「ユーザー」→「ゲスト ユーザー」で一覧を出し、長くサインインしていないゲストや、終わった案件のゲストを削除します。
定期的に見直す仕組みにしたい場合は、Microsoft Entra のアクセス レビューで、チームの所有者に、ゲストを残すかどうかを判断してもらえます。アクセス レビューには、Microsoft Entra ID P2 以上のライセンスが必要です。
ファイルの共有は SharePoint の設定で決まる
Teams で共有したファイルの実体は、チャネルなら SharePoint、チャットなら共有した人の OneDrive にあります。社外とのファイルの共有範囲は、Teams ではなく SharePoint と OneDrive の設定で決まります。見直し方はSharePoint・OneDriveの外部共有を見直すの記事で解説しています。
会議の設定を見直す｜匿名参加・ロビー・発表者
外部アクセスで止めたドメインの人でも、匿名での参加が許されていれば、会議のリンクから入れます。会議の設定は、Teams 管理センターの「会議」→「会議ポリシー」で、ポリシーごとに見直します。次の設定から確かめます。
| 設定 | 見直したあとの値 | 理由 |
|---|---|---|
| 匿名ユーザーが会議に参加できる | オフ（既定はオン） | サインインしていない人や、信頼していない組織の人が、身元を確かめられないまま入るのを防ぐ |
| ダイヤルインのユーザーがロビーを回避できる | オフ | 電話で参加する人も、ロビーで待たせてから入れる |
| 発表できるユーザー | 開催者と共同開催者のみ（既定は全員） | 意図しない画面や資料を映されるのを防ぐ |
| 外部の参加者が制御を要求・付与できる | オフ | 社外の人に、発表者の画面の操作を渡さない |
| 会議のチャット | 匿名ユーザー以外はオン | 匿名の参加者からのリンクの投稿を防ぐ |
ロビーを回避できる人の既定は、組織内のユーザーとゲストで、外部の組織の人や匿名の参加者はロビーで待ちます。この範囲を「全員」に広げないようにします。会議ポリシーの変更は、反映までに最大24時間かかります。
匿名での参加が必要な会議（採用面接やセミナーなど）がある場合は、組織全体ではなく、その会議を開く人の会議ポリシーだけでオンにします。
Teams の外部とのやり取りを見直す順番
- 外部アクセスを「特定の外部ドメインのみを許可」に変え、取引先のドメインを一覧に入れる
- 個人向けの Teams とのやり取りを、使っていなければオフにする
- Defender for Office 365 の Teams 向けの保護が有効かを確かめ、遠隔操作の道具を使える人を絞る
- ゲストを招待できる人と、招待先のドメインを絞り、残っているゲストを棚卸しする
- 会議ポリシーで、匿名参加・発表者・外部の参加者の制御を見直す
- ヘルプデスクからの連絡の確かめ方を決め、社員に伝える
弊社の支援
弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。外部アクセスを許可する方式に変える作業は、設定そのものより、やり取りしている取引先のドメインを洗い出す作業に時間がかかります。
現在の外部アクセス・ゲスト・会議の設定の確認から、許可するドメインの洗い出し、Defender for Office 365 の設定、社員への周知の文面づくりまでをご一緒に進めます。セキュリティ対策の全体像はゼロトラストとはで解説しています。
資料のご案内
Microsoft 365 セキュリティ対策ガイド【Teams 編】
外部アクセス・ゲスト・会議・録画・アプリの設定を、既定値と見直したあとの値で並べ、点検の手順とあわせてまとめています。
よくあるご質問
こちらをクリックして「よくある質問」を表示
ゲストアクセスと外部アクセスは、何が違うのですか？
ゲストアクセスは、自社の Microsoft Entra ID にゲストのアカウントを作り、チームやファイルに招く仕組みです。外部アクセスは、相手が自分の組織のアカウントのまま、チャット・通話・会議だけをする仕組みで、自社のチームやファイルには入れません。
外部アクセスを許可する方式に変えると、取引先と話せなくなりますか？
許可の一覧に入れたドメインとは、これまでどおりやり取りできます。一覧に無い取引先とは話せなくなるため、変える前に、やり取りしている取引先のドメインを洗い出しておきます。相手の組織も自社のドメインを許可している必要があります。
外部アクセスをすべてブロックすれば、会議にも外部の人は入れなくなりますか？
匿名での参加が許されていれば、外部アクセスで止めた組織の人も、匿名の参加者として会議に入れます。会議ポリシーで匿名参加をオフにするか、ロビーで待たせて開催者が確かめてから入れます。
ヘルプデスクを名乗るチャットが届いたら、社員はどうすればよいですか？
「外部」と表示された相手からの連絡は受け入れず、社内で決めた窓口に確かめます。遠隔支援の機能の起動や、サインインの承認を求められても応じないことを、あらかじめ社員に伝えておきます。
Defender for Office 365 が無くても、Teams のリンクは守られますか？
Teams のすべてのライセンスで、既知の悪意のある URL に警告が付きます。クリックしたときに確かめる安全なリンクや、利用者による報告には、Defender for Office 365 Plan 1 以上が必要です。
共有チャネルも見直す必要がありますか？
共有チャネルは、Microsoft Entra のテナント間アクセスの設定で、既定でブロックされています。自社と相手の組織の両方が許可しない限り使えないため、使っていなければ既定のままで構いません。使う場合は、許可する組織を個別に指定します。
Teams の外部アクセスは、既定のままだと、知らない組織からのチャットも社員に届きます。許可したドメインだけに絞り、届いたメッセージの保護と会議の設定を重ねれば、ヘルプデスクを名乗る誘い出しの入り口は大きく狭まります。お使いの環境の設定をお聞かせいただければ、見直しの進め方をご提案します。お問い合わせよりお気軽にご相談ください。
関連サービス・関連コラム
- セキュリティ強化支援（ゼロトラスト）
- クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
- SharePoint・OneDriveの外部共有を見直す｜ゲストアカウント必須化への対応と、共有設定の点検手順
- 多要素認証を突破する中間者型フィッシング（AiTM攻撃）を防ぐ｜Microsoft Entra IDでフィッシングに強い認証と準拠端末を必須にする
- Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）｜P1・P2・Defender for Businessの違いと、入れただけでは効かない設定
- ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ
まずは無料トライアルで、効果をご確認ください
「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。
