Teamsの外部チャットで添付が既定オンへ Microsoftは11月第1週までの設定を要請

社外の人とのTeamsチャットに、ファイルをそのまま添付できるようになります。止めておきたい会社は、今週のうちにPowerShellで設定を入れておくのが確実です。

Microsoftはメッセージセンターの投稿MC1479514で、外部チャットのファイル添付を既定で有効にすると案内しました。10月15日の更新では、展開の日は調整中としたうえで、11月の第1週までに設定を済ませるよう求めています。展開の前に入れた設定は尊重される、という説明です。第1週が展開の開始日だとは書かれていませんが、3日の祝日を挟むので、動ける日は多くありません。

増えるのはアイコンだけではない

今の既定では、外部チャットに添付のアイコンは出ません。社員ができるのは、リンクを貼ることだけです。変更後は次の4点が変わります。

4行目は見落としやすいでしょう。Microsoftの説明では、受け取った人はEntraのB2Bゲストとしてファイルを開きます。ゲストのオブジェクトがなければ、その場で作られます。

社員が社外の人に添付し、相手が開くと、情シスが招待していないゲストが自社のEntraに増えることになります。

もちろん無条件ではありません。ゲストを作れるかは、Entraの外部コラボレーション設定と、OneDriveとSharePointの共有設定に従います。それでも、ゲストの棚卸しを招待の申請にひもづけている会社では、申請のないゲストが一覧に並ぶことになるでしょう。

9月末の情報のままだと判断を誤る

MC1479514は9月25日の公開から10月15日までに、4回書き換えられました。第三者の保存サイトMessage Center Archiveの版の一覧で確認できます。途中の版の本文はサインインしないと開けないので、文面の変化は今の文面とブログの引用からの読み取りです。

転機は10月1日の更新でした。Microsoft 365 for IT Prosのブログによると、最初の文面は、以前に設定をDisabledにした組織にも適用すると書いていました。同じブログによると、否定的な声を受けてMicrosoftが計画を改めました。今の文面の対象は、設定を明示的に変えていないテナントだけです。

日程も動きました。10月2日のブログは10月下旬からの開始と書いていましたが、10月15日の文面に日付はなく、準備ができたらメッセージセンターで知らせる、という書き方です。

公式の説明書は、まだ変更前のままです。Learnの説明ページは3月12日の更新のまま「既定でオフ」と書き、コマンドレットのリファレンスも同じ説明です。

今の説明としては間違っていません。ただ、これを読んで「オフのままだから何もしなくてよい」と考えると、展開の日に外れます。

「明示的に」の見分け方も悩ましいところです。Microsoftは案内していません。今の既定値もDisabledなので、何も触っていない会社と、止めると決めて設定した会社は、確認のコマンドでは同じ値に見えるはずです。

だから、止めると決めた会社は、Disabledと表示されていても設定のコマンドを実行しておくのが無難です。投稿も、対象から外れる方法としてこのコマンドを挙げています。ただ、同じ値を入れ直せば「明示した」と扱われるのかは書かれていません。展開の投稿が出たら、社外の相手とのチャットで添付のアイコンが出ないかを確認してください。

影響する会社と、影響しない使い方

外部アクセスを使っていて、ファイル共有の設定を一度も変えていない会社が影響を受けます。外部アクセスの既定は「すべての外部ドメインを許可」なので、とくに何も決めてこなかった会社がそのまま当たります。

一方、外部アクセスをすべてブロックしている会社は、外部チャットそのものがないので影響しないはずです。ゲストアカウントとのチャットも、Microsoft 365 for IT Prosのブログによると今回の対象ではありません。

止めれば持ち出しも止まる、と考えると勘違いになります。添付を止めても、社員は共有リンクを作って貼れます。この設定が決めるのは、外部チャットの中の操作だけです。

止めても、他社からの添付が止まるとは限らない

Microsoftの説明にあるのは、Disabledにすると外部チャットに添付のアイコンが出なくなることです。相手のテナントから届く添付については、止まるとも止まらないとも書かれていません。Microsoft 365 for IT Prosのブログは、共有の制限を決めるのはファイルを置く送信側のテナントで、受け取る側ではないと指摘します。

このブログの指摘とLearnの説明から、編集部はDisabledが効くのは自社から送る向きだけとみています。Microsoftが明言した話ではないので、止めたから受信も安心だとは考えないでください。

ここで思い出したいのが、10月26日にArctic Wolfが報告したTeamsで「IT Support」を名乗る詐欺です。400件を超える事例で、攻撃者は新しく作るか手に入れたテナントから社員に連絡していました。自分のテナントなら設定も変えられるので、今でも添付は使えるはずです。展開のあとは、その手間も要らなくなります。

Arctic Wolfによると、攻撃者はふつう、検査を避けてチャットにURLを貼らず、遠隔操作のあいだに自分でファイルを取りに行きます。一方で、同じ報告はチャットのファイルとして.msiや.exeが届いた例も挙げています。既定がオンになれば、「対応の手順書です」とファイルを送ってくる形は増えうる、と編集部はみています。

検査の範囲にも注意が要ります。Microsoft 365 for IT Prosのブログによると、Defender for Office 365が検査するファイルは、自社のOneDriveやSharePointにあるものです。社員が相手のファイルを手元に落とせば、端末側のマルウェア対策に任せることになります。

受信の向きに効く自社の手段は、Teamsの外部アクセスです。［特定の外部ドメインのみを許可する］にすれば、チャットの相手そのものを絞れます。

開ける会社は、共有の設定から逆算する

添付を便利に使いたい会社もあるはずです。その場合、結果を左右するのはOneDriveの外部共有のレベルです。手元から添付したファイルは送信者のOneDriveに入るので、OneDriveをSharePointより厳しくしている会社は、OneDriveの値で決まります。

Microsoftは、既存の設定が引き続きアクセスを決める、相手が既定でアクセスできるとは限らない、と書くだけで、レベルごとの結果は示していません。次の表は、編集部が説明から読み取った見込みです。取引先と1件試してから判断してください。

添付は許して、権限の自動付与だけ切る中間の選び方もあります。AutoShareFilesInExternalChatsをDisabledにすると、送信者が権限を付けるまで相手は開けない場合があります。誤送信の歯止めにはなりますが、「開けない」という問い合わせは覚悟したほうがよいでしょう。

展開の日が出る前に済ませる手順

1. Teams用のPowerShellで、今の値をすべてのポリシーについて書き出します。Global以外の行が出たら、ほかのポリシーがある印です。だれに割り当てているかも確認します。

   Connect-MicrosoftTeams
   Get-CsTeamsFilesPolicy | Select-Object Identity, FileSharingInChatsWithExternalUsers
   Get-CsTeamsMessagingPolicy | Select-Object Identity, AutoShareFilesInExternalChats
   

2. SharePoint管理センターの［ポリシー］＞［共有］でOneDriveのレベルを確認し、止めるか開けるかを情報管理の責任者と決めます。動かないと決めたときも、その決定を記録に残します。

3. 止める会社は、Global以外のポリシーも含めて設定します。投稿の例はGlobalだけなので、ほかのポリシーが残らないようにします。反映には数時間かかります。Learnによると、この設定を止めてもLoopコンポーネントの自動共有は続きます。Loopも止めるなら、AutoShareFilesInExternalChatsもDisabledにします。

   Get-CsTeamsFilesPolicy | ForEach-Object {
     Set-CsTeamsFilesPolicy -Identity $_.Identity -FileSharingInChatsWithExternalUsers Disabled
   }
   

4. 開ける会社は、Teams管理センターの［ユーザー］＞［外部アクセス］で許可リストに切り替えられるかを検討し、Entraのゲストを確認する周期を決めます。

5. ヘルプデスクに、社員が受け取るときの画面を伝えます。Externalの札が付いたファイル、ブラウザーで開くこと、初回の同意や多要素認証の画面です。社外の相手からの添付で同意を求められたら、開く前に相手を確かめるよう社内に知らせます。

添付を許すかどうかは1行で変えられます。時間がかかるのは、どのテナントと話せる状態にしておくかのほうです。