MS Teamsの強力機能によるサイバー攻撃の脅威と対策

Microsoft Teams も Google スプレッドシートと同様に、「日常的に業務で使われる信頼されたプラットフォームであること（LOLBins: Living Off the Land Binaries/Services）」を利用したサイバー攻撃の標的になっています。

Teams の機能（チャット、ファイル共有、アプリ連携、Power Automate 等）を悪用した攻撃を防ぐには、Microsoft 365（M365）管理センター／Teams 管理センターでの統制とユーザー側の対策が重要になります。

主に対象となる攻撃手法と、その防御策をまとめました。

1. 外部ユーザーからのフィッシング・マルウェア送信（External Access の悪用）

攻撃者が外部の Microsoft アカウントを作成し、社内ユーザーへ直接 Teams チャットを送りつけてフィッシングリンクを踏ませたり、悪質なファイル（zip、exe、マクロ付きOfficeファイルなど）を送信したりする手口です。

• 外部アクセス（External Access）の制限
  • Teams 管理センターで、外部ドメインとのチャット・通話を「不許可（完全に禁止）」にするか、「特定の信頼できるドメイン（ホワイトリスト）のみ許可」に設定します。
• ゲストアクセスの制御
  • チームへのゲスト追加権限を管理者のみに絞り込み、一般ユーザーが自由に外部アカウントを組織内に招き入れないようにします。
• Microsoft Defender for Office 365（Safe Links / Safe Attachments）の有効化
  • Teams チャット内のリンクをクリック時にリアルタイムで安全性をスキャン（Safe Links）し、添付ファイルをサンドボックスで事前検証（Safe Attachments）するように設定します。

2. Teams 連携アプリ・ボット（Apps / Bots）の悪用対策

不正なサードパーティ製アプリや、攻撃者が作成したカスタムボットを Teams 内に導入させ、ユーザーの認証情報（トークン）や組織内データを窃取する攻撃です。

• サードパーティアプリの追加制限
  • Teams 管理センターの「アプリの権限管理ポリシー（App permission policies）」で、未承認のサードパーティアプリやカスタムアプリのインストールを原則禁止にします。
• 承認済みアプリのみ配信（App Store のホワイトリスト化）
  • 組織で安全を確認・承認したアプリのみをユーザーが追加・利用できるように制御します。

3. Power Automate / Webhook を利用したデータ持ち出し・C2通信対策

Teams には Webhook や Power Automate（旧 Flow）などの自動化ツールが組み込まれています。攻撃者が侵入後、Incoming/Outgoing Webhook を設定してチャットログやファイルを外部サーバーへ自動転送したり、C2（遠隔操作）コマンドの受け渡しに利用したりすることがあります。

• Webhook コネクタの利用制限
  • 不要なチームやチャネルでの「Incoming Webhook」「Outgoing Webhook」の追加権限をブロックします。
• Power Automate の DLP（データ損失防止）ポリシー設定
  • Power Platform 管理センターにて、「Teams コネクタ」と「外部の非信頼コネクタ（Webリクエスト、FTP、外部クラウドストレージなど）」を同一ポリシー内で組み合わせられないよう制限します（これにより、Teams内のデータを自動で外部へ送信するフローの構築を阻止できます）。

4. セッションハイジャック（OAuth トークン窃取）と不正ログイン

Teams アカウントのアクセス consolidated トークンが窃取されると、MFA（多要素認証）を突破して Teams 内の過去の会話ログ、ファイル、個人情報がすべて閲覧・奪取されるリスクがあります。

• Conditional Access（条件付きアクセス）の導入
  • Microsoft Entra ID（旧 Azure AD）にて、「MFAの強制」に加えて「会社指定の端末（Compliance Device）からのアクセスのみ許可」や「特定IPアドレスからのアクセスのみ許可」といった制限を設けます。
• セッション有効期限の短縮とリスクベース認証
  • Identity Protection を活用し、普段と異なる場所からのログインや不審なサインイン挙動を検知した際に、自動でセッションを失効させる仕組みを構築します。

対策チェックリスト（優先順位別）