Microsoft Teamsが2026年11月から、会議参加者のなりすましを自動で検知して警告を出す機能を追加します。取引先の担当者を装って会議に潜り込む手口への対策として、Microsoftが正式にロードマップに掲載した機能です。この記事では、機能の概要と中小企業が今から準備しておくべき社内対応ルールを整理します。
なりすまし被害は「うちには関係ない」ではなくなっている
IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」において、ビジネスメール詐欺（BEC）は2022年以降、組織向け脅威の上位10位内に継続してランクインしています。BECとは、取引先や経営幹部を装ったメールや会話で、振込先の変更や機密情報の提供を騙し取る手口です。かつては「大企業が狙われるもの」というイメージがありましたが、攻撃者がターゲットの規模を選ばなくなった現在、従業員50人以下の中小企業でも被害報告が増えています。
オンライン会議の普及がこの問題を複雑にしました。対面であれば顔や声で相手を確認できますが、Teamsをはじめとするビデオ会議では、表示名やプロフィール画像だけを見て「あの取引先の田中さん」と思い込んでしまいやすい。実際には、招待リンクを転送するだけで第三者が会議に参加できる状況があります。参加者が多い会議ほど、見知らぬ顔がいても気づきにくいのが現実です。
Teams「なりすまし保護機能」が何をするのか
Microsoftが2026年11月のリリースを予定している「Impersonation Protection for Teams meetings」は、Teams会議の中でなりすましの可能性がある参加者や主催者を自動で検知し、参加者に警告を表示する機能です。Teams（Microsoft Teams）とは、ビデオ会議・チャット・ファイル共有をまとめて行えるビジネスコミュニケーションツールで、Microsoft 365に含まれています。
具体的には、Teamsが会議内で不審なアイデンティティの兆候を検知した場合、参加者の画面に警告やリスク指標を表示します。「この参加者のアカウントには疑わしい点があります」といった形で注意を促し、参加者が判断を下せる情報を提供する仕組みです。自動でその人を追い出すのではなく、「あなたが確認して判断する」という設計になっています。
どのような情報を根拠に検知するかについて、Microsoftは詳細な技術仕様を公開していません。ただし、表示名のスペルが既知の組織と酷似している、外部ドメインからの参加なのに社内人物に見せかけているといった特徴を複合的に判定するものと考えられます。
警告が出たとき、担当者は何をすればいいか
機能として「警告が表示される」ことは分かりました。では実際に画面に警告が出たとき、あなたの会社の担当者はどう動きますか。ここに準備のギャップが生まれやすいポイントがあります。
たとえば、従業員35人の製造業で、営業担当が取引先との商談Teamsを主催している場面を考えてみてください。会議開始後に「このユーザーのアカウントに注意が必要です」という警告が表示されたとします。営業担当がその場で取るべき行動は何でしょうか。会議を一時停止して本人確認の電話を入れるのか、そのまま続行するのか、主催者権限で退室を求めるのか——判断基準が社内で決まっていなければ、担当者は戸惑い、その隙に機密情報が漏れることもあります。
この機能が有効になる前に、以下の点を社内で確認しておくことが現実的な準備になります。まず、警告が出たときに確認できる「別の連絡手段」を参加者のリストとセットで用意しておくことです。警告が出た相手に、電話や別のチャットで本人確認を取ることが判断の基軸になります。次に、誰が確認作業を担うかです。主催者なのか、上位職の承認が必要なのかを決めておかないと、現場が判断を止めてしまいます。
中小企業が今から動いておくべき理由
なりすましのリスクを具体的な数字で見ると、IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、回答企業の約2割が「外部からの不正アクセスや詐欺メール被害を経験したことがある」と答えています。被害を受けた企業のうち、事前に対応ルールを定めていた割合は半数以下でした。技術的な防御があっても、人が適切に動けないと機能しないという事実が見えてきます。
Teamsのなりすまし保護機能は、Microsoftが「警告を出す」ところまでをサポートします。しかし「警告を受けた人間がどう動くか」は機能の外側にあります。これは中小企業にとって特に重要な話で、大企業であればセキュリティ専任チームがインシデント対応フローを持っていますが、中小企業では営業担当や総務担当が兼務で対応する場面が多い。だからこそ、事前の取り決めが効いてきます。
機能のリリースは2026年11月の予定です。それまでの時間を使って、社内でどんな会議に外部参加者が入っているかをTeamsの管理画面で棚卸しする作業から始めると、整理しやすくなります。Teamsの設定や活用法については、ChatGPT活用ガイドでもAIを使った情報整理の方法に触れているので、情報収集の参考にしてみてください。
機能を使うための前提条件
「なりすまし保護」はすべてのTeamsユーザーが自動で使えるわけではない可能性があります。現時点でMicrosoftが明示しているのは「2026年11月にGA（一般提供）開始」という事実のみで、対象プランや管理者設定の要否については正式なアナウンスを待つ必要があります。
TeamsはMicrosoft 365のどのプランに含まれているかによって、利用できる機能の範囲が異なります。「Microsoft 365 Business Basic」「Business Standard」「Business Premium」のうち、セキュリティ関連の高度な機能はBusinessPremiumに含まれることが多い傾向があります。なりすまし保護がどのプランで提供されるかは、11月の正式リリース時に確認するか、組織のMicrosoft 365管理者を通じて確認することを勧めます。
なお、社内でMicrosoft 365をまだ導入していない会社にとっては、この機能単体を目的に契約を検討するというより、Teamsを使ったオンライン会議全般のセキュリティをどう設計するかという文脈で考えるほうが判断しやすいでしょう。
社内ルールを作る前に確認したい2点
なりすまし保護の仕組みを社内に定着させるためには、技術の設定と人の行動ルールを両方整える必要があります。どちらが欠けても機能しません。
技術面では、Teamsの外部参加者に対する設定を管理者が見直すことが出発点です。見知らぬ外部ユーザーがリンクだけで参加できる状態になっているかどうか、ロビー機能（参加者を待機させて主催者が手動で入室を許可する仕組み）が有効になっているかどうかを確認します。ロビー設定を「外部ユーザーは全員ロビー待機」にするだけで、なりすましのリスクをかなり下げられます。この設定変更はTeamsの有料プランがあれば管理者が行えます。
人の行動ルール面では、プロンプトの書き方ガイドで紹介しているような「AIに情報を整理させる」手法を使って、社内向けの対応フロー文書を素早く作ることも一つの方法です。警告が出たときに誰に報告して何を確認するか、1枚のメモとして用意しておくだけで、現場の判断を助けます。
たとえば従業員20人の士業事務所で、顧問先とのTeams相談会を月に数回開いているような場合、なりすまし警告への対応フローを作る際に「相手に電話で本人確認→確認できれば継続、できなければ退室を依頼→後日インシデント記録を残す」という3ステップを文書化しておけば、担当者が変わっても対応が一貫します。
まとめ
Teamsのなりすまし保護機能は、技術がオンラインの偽装を検知してくれる点で確かに便利です。ただし、警告を受けた担当者が判断に迷わないようにするのは、あくまで社内の取り決め次第です。機能リリースまでの期間を、設定の棚卸しと対応ルールの整備に使うかどうかが、この機能を実際に活かせるかの分かれ目になります。
Teamsの管理設定やMicrosoft 365のプラン選定、社内のオンライン会議セキュリティの整備について判断が難しい場合は、専門家への相談が早期の整備につながります。
