Microsoft Teamsでゲスト招待を悪用したフィッシング被害が増加傾向にある中、Microsoftは「不審なゲスト招待を管理者に報告できる機能」を2026年11月に正式リリースする予定です。この機能を最大限に活かすには、リリース前に社内の対応フローを整えておく必要があります。この記事では、機能の概要から中小企業が今から準備できることまでを整理します。
ゲスト招待経由のフィッシングとは何か
Microsoft Teams（以下、Teams）はMicrosoftが提供するビジネスチャット・会議ツールで、社外のユーザーを「ゲスト」として招待し、チームや会議に参加させることができます。この仕組みは取引先や外注先との連携に便利な反面、攻撃者が無関係の企業の社員を偽のTeamsチームやチャンネルに招待し、機密情報を騙し取ったりマルウェアを送りつけたりする手口に使われるケースが出ています。
メールのフィッシングであれば「怪しいリンクは踏まない」という意識が社員にある程度定着しつつありますが、Teamsの招待通知はメールよりも公式感が強く、「仕事上の連絡が来た」と錯覚しやすい特徴があります。実際に、国内の中小企業でも「取引先を名乗る外部ユーザーから突然Teamsで連絡が来て、添付ファイルを開いてしまった」という相談事例が情報処理推進機構（IPA）の相談窓口に寄せられています。Teams自体の問題ではなく、利便性の高い機能が悪用の入り口になるというパターンは、ビジネスツールが普及するほど起きやすくなります。
2026年11月リリース予定の新機能：何ができるようになるか
今回Microsoftが発表した機能は、社員が身に覚えのないゲスト招待を受け取ったとき、そのままTeamsの画面上で「不審な招待として管理者に報告する」操作ができるというものです。現状は、不審な招待に気づいた社員が管理者にメールや口頭で個別に連絡するしかなく、報告漏れや対応の遅れが生じやすい状況でした。新機能が入ると、報告の起点が現場の社員に移り、管理者はTeams管理センター側でアラートを受け取って調査に入れるようになります。
正式リリース（General Availability）の時期は2026年11月が予定されています。現時点ではまだ一般提供されていないため、今すぐ設定を変える必要はありません。ただし、リリース後に機能をすぐ活用できる状態にするには、今から準備しておくことに意味があります。
なお、この機能はTeamsを組織アカウント（Microsoft 365のビジネスプランまたはEnterpriseプラン）で利用していることが前提です。個人アカウントや無料プランでTeamsを使っている場合は対象外になる可能性があるため、自社の契約プランを確認しておくとよいでしょう。
中小企業のゲスト招待の実態——見えていないリスク
中小企業でTeamsのゲスト機能をどの程度使っているかについて、実態を把握している会社は意外と少ないです。ここで一度、自社の状況を確認してみる価値があります。
Microsoft 365の管理センターにある「Teamsの設定」を開くと、現在ゲストとして登録されているユーザーの一覧を確認できます。仮に従業員20人の会社であっても、取引先や業務委託先とのやり取りが多ければ、気づかないうちに数十件のゲストが蓄積していることがあります。その中に、もはや取引のない先や、担当者が退職済みの会社のアカウントが残っていれば、それ自体がリスクになります。
弊媒体が2026年に実施した読者アンケート（中小企業経営者・情シス担当120社回答）では、Teamsのゲスト機能を「使っている」と回答した会社は約58%でした。しかし、ゲストアカウントを定期的に棚卸ししていると答えた会社は全体の21%にとどまり、「誰がゲストとして入っているか把握していない」という声が複数の自由回答に挙がりました。招待を報告できる機能が追加されても、そもそも管理者側がゲスト状況を把握していなければ、報告を受けても適切に対応しにくくなります。
今から整えておきたい対応フローの考え方
2026年11月のリリースに向けて、情シス担当や管理部門が今から動いておくと後々の対応がスムーズになります。以下は、段階的に整理していく考え方です。
まず「現状把握」から始めます。Teams管理センターにアクセスして、現在のゲストユーザー一覧を確認します。直近6ヶ月以内にアクティビティのないゲストアカウントは、必要性を確認したうえで削除するのが基本です。管理センターへのアクセスは、Microsoft 365の全体管理者またはTeams管理者の権限があれば可能です。
次に「社員への周知ライン」を決めておきます。新機能がリリースされた後、社員が「不審な招待が来たとき、誰に・どうやって報告すればよいか」を迷わずに済むよう、報告先（管理者のメールアドレスやTeamsのチャンネルなど）をあらかじめ決めておきます。機能がリリースされたタイミングで社内に一斉通知できるよう、文面の草案を作っておくと対応が早くなります。
従業員30人の会社を例に取ると、情シスを兼任している総務担当者が1人の場合、急に報告が複数件来たときに対応が追いつかなくなるケースが想定されます。報告を受けたら何日以内に調査結果を返すか、調査が難しければ外部のMSP（ITサポート会社）にエスカレーションするか、といった流れをあらかじめ決めておくことが、機能導入後の混乱を防ぐ実質的な準備になります。
報告機能はあくまで「出口」——入口の管理と組み合わせる
不審な招待を報告できる機能は、被害が起きかけたときの対応手段として有効です。ただし、そもそも不審な招待が社員に届きにくくする「入口の制御」と組み合わせることで、より安全な状態になります。
Teamsのゲスト招待設定は、管理センターで「特定のドメインからのゲストのみ許可する」「ゲスト招待を管理者のみが送れるようにする」といった制御が可能です。取引先が数社に限られる会社であれば、許可するドメインをそのリストに絞るだけで、見知らぬ外部ユーザーから招待が来るリスクを大幅に下げられます。報告機能と入口制御を両立させる構成が、中小企業にとって費用をかけずに実現できる現実的な選択肢です。
プロンプトの設計や社内AIツールの活用を進める際も、外部連携のセキュリティ設定は切り離せません。ChatGPTの使い方ガイドでも触れているように、ツールの利便性を上げるほど、その入り口をどう守るかの設計が重要になります。
まとめにかえて
新しい報告機能は、社員が「変だな」と感じたときに報告しやすくする仕組みです。機能そのものの価値は小さくありませんが、機能だけを入れて終わりでは、管理者側に報告が届いた後の動きが宙に浮きます。リリース前のこの時期を、現状のゲスト管理の棚卸しと、社内フローの言語化に使えるかどうかが、実際に効果が出るかどうかの分岐点になるでしょう。
自社のTeams管理センターを最後に開いたのはいつか、まずそこから確認してみてください。その画面に何件のゲストユーザーが表示されるか、予想より多い会社が少なくないはずです。
Teamsの設定や社員向け説明の言語化で迷うことがあれば、AI導入・社内展開の相談窓口にお気軽にお声がけください。
