Microsoft Teams、メッセージ内の不正なQRコードを検知へ 2026年12月提供予定

Microsoftが、ビジネスチャット「Microsoft Teams」のメッセージ内で共有された不正なQRコードを、近リアルタイムで検知する機能を公表しました。QRコードに隠したリンクで偽サイトへ誘導する「クイッシング(QRコードフィッシング)」への対策で、これまで文字のリンク(URL)に対して行っていた保護を、QRコードにも広げるものです。

何が変わるのか

Microsoft 365のロードマップ(ID 576198)によると、Teamsはメッセージ内で共有されたQRコードに埋め込まれた遷移先(飛び先のURL)を解析し、フィッシングや詐欺のおそれがある場合に、追加の保護を適用します。これは、既存のURLの保護をQRコードに基づく攻撃へ拡張するもの、と説明されています。

ロードマップ上の状態は「開発中(In development)」で、一般提供(GA)の時期は2026年12月とされています。対象のプラットフォームは、デスクトップ・Mac・モバイル・Webです。

なぜQRコードが狙われるのか

メールやチャットに貼られた文字のリンクは、セキュリティの仕組みで飛び先を検査し、危険なものを止めやすくなっています。一方、QRコードはリンクを「画像」にしたものなので、同じようには検査されにくいという弱点があります。さらに、利用者が手元のスマートフォンでQRコードを読み取ると、会社のパソコンやネットワークにかけた保護の外に出てしまいます。こうした「検査の目をすり抜けやすさ」と「スマホへの誘導」を狙って、QRコードを使ったフィッシングが増えています。今回の機能は、この見抜きにくいQRコードの遷移先をTeamsのメッセージでもチェックしようとするものです。

影響を受けるのはどんな環境か

関係するのは、Microsoft Teamsを使っている組織です。この種の保護はサービス側に順次入るため、多くの利用者が、特別な操作なしに恩恵を受けられる見込みです。ただし、提供は2026年12月とされており、すぐに有効になるわけではありません。それまでの間と、提供後も、利用者がQRコードを安易に読み取らない、という基本は変わりません。

情シスが今日やること

• 提供の時期を把握しておく: この機能はMicrosoft 365ロードマップで「開発中」、一般提供は2026年12月とされています。自社のTeamsにいつ入るかを見込みとして把握し、提供後は既定で有効かを確認します
• クイッシングへの注意を周知する: メールやチャット、紙のポスターやチラシに載ったQRコードを、送り主や出どころが不確かなまま読み取らないよう、利用者に周知します。とくに、ログインや支払いを促すQRコードには注意します
• 既存のリンク保護を確認する: Microsoft Defender for Office 365など、メールやTeamsのリンク(URL)に対する既存の保護が有効かを確認します。QRコードの保護は、こうした仕組みの延長として入っていきます
• 多要素認証で一段守る: フィッシングで認証情報を入力してしまっても、多要素認証があれば、もう一段の防ぎになります。重要なサービスのアカウントに多要素認証がかかっているかを確認します
• スマホの読み取りを前提に備える: QRコードはスマートフォンで読まれ、会社の保護の外に出がちです。業務で使うスマートフォンの管理(MDM)や、怪しいサイトを警告する仕組みの有無も、あわせて見直します

QRコードは、便利さの裏で、リンクの検査をすり抜けやすい弱点があります。Teamsの新しい検知は助けになりますが、提供は先です。利用者への注意喚起と、既存のリンク保護・多要素認証という土台を固めておくことが、情シスの実務になります。