Microsoft Teamsの外部コラボレーションを許可している組織では、「どの外部ドメインと急にやり取りが増えたのか」「新しい外部組織から不自然な接触が発生していないか」を早めに見つけることが重要です。2026年5月時点で展開中の Microsoft Teams: External Domains Anomalies Report は、そのための新しい保護レポートです。
結論から言うと、このレポートはTeams管理センターで外部ドメインとの異常なコミュニケーション傾向を可視化し、疑わしいドメインの調査やブロック判断を支援します。外部アクセスを完全に止める機能ではなく、「普段と違う外部連携の増え方」を検知して、管理者が早く気づけるようにする機能です。
Microsoft 365 Roadmap ID 536572では、対象サービスはMicrosoft Teams、提供形態はWeb、リリースリングはGeneral Availability、クラウドはWorldwide、一般提供時期は2026年5月、ステータスはRolling outとされています。更新日時はUTCで2026年5月26日23時台のため、日本時間では2026年5月27日付の更新として扱えます。(Microsoft)
Microsoft Teams: External Domains Anomalies Reportとは
Microsoft Teams: External Domains Anomalies Report は、組織内ユーザーと外部ドメイン間のTeamsコミュニケーションを分析し、通常とは異なる外部連携パターンを見つけるための管理者向けレポートです。
Microsoft Learnでは、このレポートについて、組織内ユーザーと外部ドメイン間の「通常とは異なる外部コラボレーションパターン」を管理者が識別するためのものと説明されています。特に、初回の外部から内部への接触パターンに着目し、既存の継続的な関係とは別の観点で異常を検出する点が特徴です。(Microsoft Learn)
たとえば、次のような状況を早期に確認しやすくなります。
| 起こり得る状況 | 管理者が確認すべきこと |
|---|---|
| 見慣れない外部ドメインから1対1チャットが急増した | 正規の取引先・採用候補者・委託先なのか、不審な接触なのかを確認する |
| 特定の外部ドメインとのグループスレッドが急に増えた | 新規プロジェクトによる増加か、意図しない外部共有につながっていないかを確認する |
| 過去にやり取りの少なかったドメインが急に目立つ | 業務上の理由、キャンペーン、サポート対応、フィッシングの可能性を切り分ける |
| 外部連携の多い部門で異常が出た | 営業・採用・サポートなど通常業務との違いを部門に確認する |
重要なのは、このレポートが「危険なドメインを自動で断定するもの」ではない点です。異常値は、悪意ある活動だけでなく、新規取引、イベント対応、採用活動、外部ベンダーとの集中作業でも発生します。検出結果は、ブロック前の調査材料として使うのが現実的です。
何が変わるのか
今回の変更で、Teams管理者は外部ドメインとの異常なやり取りをTeams管理センター上で確認しやすくなります。Roadmapでは、コミュニケーション傾向を分析し、急増、新しいドメイン、異常なエンゲージメントパターンを検出することで、データ共有やセキュリティリスクを早期に把握できると説明されています。(Microsoft)
これまで外部連携のリスク確認は、外部アクセス設定、監査ログ、DefenderやPurview側のアラート、部門からの申告などを組み合わせて行う必要がありました。External Domains Anomalies Reportにより、少なくともTeams上の外部ドメイン接触については、管理者が「いつもと違う増え方」を起点に調査できます。
変更点の整理
| 項目 | 内容 |
|---|---|
| 機能名 | Microsoft Teams: External Domains Anomalies Report |
| Roadmap ID | 536572 |
| 対象サービス | Microsoft Teams |
| 対象プラットフォーム | Web |
| 提供状況 | Rolling out |
| 一般提供時期 | 2026年5月 |
| 主な利用者 | Teams管理者、セキュリティ管理者、Microsoft 365運用担当者 |
| 主な目的 | 外部ドメインとの異常なTeamsコミュニケーションを早期に把握する |
| 主な確認場所 | Teams管理センターのProtection reports |
レポートで確認できる主な情報
External Domains Anomalies Reportでは、異常な外部コミュニケーションが検出されたドメインや、1対1スレッド、グループスレッドなどの指標を確認できます。Microsoft Learnでは、レポート項目として、外部ドメイン、異常イベントの合計、新規1対1チャットスレッド、新規グループチャットまたはチャネルスレッド、各スレッド数のベースライン、異常判定の値が説明されています。(Microsoft Learn)
特に誤解しやすいのが「Total anomalies」です。これはメッセージ数や会話数そのものではなく、選択期間内に検出された異常イベント数です。Microsoft Learnでも、異常は日単位かつ活動タイプ別に評価され、1対1とグループが同じ日にそれぞれ基準を超えた場合は別々の異常イベントとして数えられると説明されています。(Microsoft Learn)
| レポート項目 | 見るべきポイント |
|---|---|
| Domain | 異常な通信活動が検出された外部ドメイン |
| Total anomalies | 異常イベント数。メッセージ数や会話数と混同しない |
| 1:1 threads | 外部ドメインとの新規1対1チャットスレッド数 |
| Group threads | 外部ドメインとの新規グループチャットまたはチャネルスレッド数 |
| 1:1 threads baseline | そのドメインの過去傾向から見た1対1スレッドの期待値 |
| Group threads baseline | そのドメインの過去傾向から見たグループスレッドの期待値 |
| 1:1 / Group threads anomaly | 実測値がベースラインを超えた日や値 |
日常運用では、まず「知らないドメイン」「業務上説明しにくいドメイン」「特定部門に偏って急増しているドメイン」から確認すると効率的です。すべての異常を同じ優先度で扱うと、通常業務の増加までセキュリティインシデントとして扱ってしまい、現場との摩擦が増えます。
レポートの確認手順
Teams管理センターでの確認手順は次の通りです。Microsoft Learnでは、Teams管理センターの左ナビゲーションから Analytics & reports > Protection reports を選び、レポートとして Communication anomalies を選択し、種類として External domains anomalies を確認して実行する流れが示されています。(Microsoft Learn)
| 手順 | 操作 |
|---|---|
| 1 | Teams管理センターに管理者アカウントでサインインする |
| 2 | 左メニューから Analytics & reports > Protection reports を開く |
| 3 | View reportsタブで Communication anomalies を選択する |
| 4 | Typeで External domains anomalies が選ばれていることを確認する |
| 5 | Date rangeで期間を選ぶ |
| 6 | Run report を実行する |
| 7 | 検出されたドメイン、スレッド数、ベースライン、異常イベントを確認する |
Date rangeは、直近24時間、3日、7日、10日などの定義済み期間から選択できます。短い期間は急な変化の確認に向き、長めの期間は特定ドメインの傾向確認に向いています。
エクスポート時の注意点
レポートには表とグラフがあり、エクスポートの挙動にも違いがあります。Microsoft Learnでは、テーブルのエクスポートは選択期間で表示中のテーブルデータを出力し、チャートのエクスポートは表示中の1行だけではなく、該当期間内の全行に対応するチャートデータを出力すると説明されています。(Microsoft Learn)
セキュリティレビュー用に証跡を残す場合は、テーブル出力だけで判断せず、必要に応じてチャートデータも保存しておくと、後から「急増の山がいつ発生したか」を説明しやすくなります。
アラートは自動では有効にならない
このレポートで特に見落としやすいのが、アラート設定です。External Domains Anomaliesのアラートは既定では有効になっていません。Microsoft Learnでも、明示的にルールを有効化するまで通知は届かないと記載されています。(Microsoft Learn)
アラートを使う場合は、Teams管理センターで次の設定を確認します。
| 手順 | 操作 |
|---|---|
| 1 | Teams管理センターの左メニューで Notifications & alerts > Rules を開く |
| 2 | External domains anomalies を選択する |
| 3 | 通知先のTeamsチャネルを指定する |
| 4 | ルールの状態を Enabled に変更する |
| 5 | 保存する |
アラートを有効にすると、異常イベントが検出された際にTeamsチャネルへ通知が投稿されます。通知には対象ドメイン、検出された異常活動の要約、詳細レポートへのリンクが含まれるため、日次運用に組み込みやすくなります。(Microsoft Learn)
通知先は、全社の一般チャネルではなく、情報システム部門やSOC、Microsoft 365運用チームなど、判断できるメンバーだけがいる専用チャネルにするのが安全です。検出結果には外部連携先の情報が含まれるため、閲覧範囲を広げすぎると不要な混乱や情報共有リスクにつながります。
影響範囲：誰が対応すべきか
この更新の影響を受けるのは、主に外部アクセスを利用しているMicrosoft 365テナントです。外部組織とのチャット、会議、通話、グループチャットをTeamsで行っている企業では、管理者が新しいレポートを確認できる可能性があります。
一方、一般ユーザーのTeams画面に大きなUI変更が出る機能ではありません。利用者にとっては、通常のチャットや会議の使い方が直接変わるというより、管理側の監視・調査・ブロック判断が強化される変更です。
| 立場 | 影響 |
|---|---|
| 一般ユーザー | 通常のTeams利用に直接の操作変更は少ない |
| Teams管理者 | Protection reportsで外部ドメイン異常を確認できる |
| セキュリティ管理者 | 不審な外部接触の調査起点として利用できる |
| 情報システム部門 | 外部アクセス設定や通知ルールの見直しが必要 |
| 開発者・アプリ管理者 | Teams連携アプリや外部組織との運用導線が誤検知要因にならないか確認が必要 |
| 法務・コンプライアンス担当 | 外部共有・委託先管理・インシデント対応ルールとの整合性確認が必要 |
特に、外部委託先、グループ会社、販売代理店、採用候補者、カスタマーサポート先とTeamsで頻繁にやり取りする組織では、異常検知と業務上の正当な増加を切り分ける運用ルールが必要です。
管理者が最初に確認すべき設定
External Domains Anomalies Reportは、見つけるためのレポートです。検出後にどう対応するかは、Teamsの外部アクセス設定やDefender側のブロック管理とセットで考える必要があります。
外部アクセスの許可範囲
Teamsの外部アクセスでは、外部組織のTeamsまたはSkype for Businessユーザーとの通信を制御できます。Microsoft Learnでは、すべての外部ドメインを許可、特定ドメインのみ許可、特定ドメインをブロック、すべての外部ドメインをブロックといった選択肢が説明されています。(Microsoft Learn)
| 設定方針 | 向いている組織 | 注意点 |
|---|---|---|
| すべての外部ドメインを許可 | 営業・採用・サポートなど外部接点が多い組織 | 不審ドメインの早期検知とブロック運用が重要 |
| 特定ドメインのみ許可 | 取引先が限定されている組織 | 新しい取引先追加の申請フローが必要 |
| 特定ドメインをブロック | 基本は開放しつつ危険な相手だけ止めたい組織 | ブロックリストの棚卸しが必要 |
| すべての外部ドメインをブロック | 高機密部門、閉域に近い運用 | 業務上の外部連携がTeams外に逃げる可能性がある |
注意したいのは、ブロック対象ドメインのユーザーでも、匿名参加が許可されている会議には参加できる場合がある点です。Microsoft Learnでも、匿名アクセスが許可されている場合、ブロックされたドメインのユーザーが匿名で会議に参加できる可能性があると説明されています。(Microsoft Learn)
つまり、外部ドメインをブロックしただけで、外部参加に関するすべてのリスクが消えるわけではありません。会議ポリシー、匿名参加、ゲストアクセス、共有リンク設定も合わせて確認する必要があります。
外部アクセスとゲストアクセスの違い
External Domains Anomalies Reportを正しく使うには、外部アクセスとゲストアクセスの違いも押さえておく必要があります。
Microsoft Learnでは、外部アクセスはMicrosoft IDを持つ他組織のユーザーを検索、通話、チャットできる機能であり、ゲストアクセスは外部の人を自社テナントのチームに招待し、ファイルやチームリソースへアクセスさせる機能と説明されています。(Microsoft Learn)
| 項目 | 外部アクセス | ゲストアクセス |
|---|---|---|
| 主な用途 | 他組織ユーザーとのチャット、通話、会議 | 外部ユーザーを自社チームに招待して共同作業 |
| 自社テナント内のリソースアクセス | 基本的に不可 | 付与された範囲で可能 |
| ファイル共有 | 制限あり | チームやチャネルの権限に応じて可能 |
| 管理の焦点 | 外部ドメイン・外部ユーザーとの通信制御 | ゲストアカウント、チーム権限、ファイル権限 |
| 今回のレポートで見るべき観点 | 外部ドメインとの異常な接触増加 | ゲスト招待やファイル共有の監査とは別に確認 |
外部アクセスの異常が見つかった場合でも、ファイル共有リスクまで判断するには、SharePoint、OneDrive、Purview、監査ログなども確認する必要があります。Teamsのチャット増加だけで「情報漏えい」と断定するのは避けるべきです。
検出後の実務フロー
External Domains Anomalies Reportを有効に活用するには、「アラートが出たら誰が何を見るか」を先に決めておくことが大切です。通知だけ有効にしても、担当者が判断基準を持っていなければ、結局見逃しや過剰対応が発生します。
推奨される初動フロー
| フェーズ | 対応内容 | 判断基準 |
|---|---|---|
| 受付 | アラートまたはレポートで対象ドメインを確認 | 見慣れないドメインか、既存取引先か |
| 一次確認 | 対象期間、1対1・グループスレッド数、ベースラインとの差を確認 | 急増の幅、複数部門への広がり |
| 業務確認 | 関連部門に新規案件、採用、イベント、サポート対応の有無を確認 | 正当な業務理由が説明できるか |
| セキュリティ確認 | URL、添付、外部招待、ユーザー報告、監査ログを確認 | フィッシング、なりすまし、情報持ち出しの兆候 |
| 対応判断 | 監視継続、注意喚起、一時ブロック、恒久ブロックを選択 | 業務影響とリスクのバランス |
| 記録 | 判断理由、対象ドメイン、対応者、時刻を記録 | 後日の説明責任を満たせるか |
初動では、いきなりブロックするよりも、まず「業務上の説明がつくか」を確認するのが現実的です。たとえば採用媒体、外部研修、展示会、サポートベンダーなどは、短期間に新規接触が増えることがあります。
ただし、以下のような場合は優先度を上げて調査すべきです。
| 優先度を上げる条件 | 理由 |
|---|---|
| 対象ドメインを社内で誰も知らない | なりすましや不審な外部接触の可能性がある |
| 複数部門のユーザーに同時接触している | 広範囲なフィッシングやソーシャルエンジニアリングの可能性がある |
| 役員、人事、経理、法務など高リスク部門が含まれる | 情報価値が高く、被害時の影響が大きい |
| 短時間に1対1スレッドが急増している | 個別接触による誘導の可能性がある |
| ユーザーから不審チャットの報告がある | 異常検知とユーザー報告が一致しているためリスクが高い |
ブロック運用で注意すべきこと
疑わしいドメインをブロックする場合、Teams管理センターだけでなく、Microsoft DefenderポータルのTenant Allow/Block Listとの関係も確認しておきましょう。
Microsoft Learnでは、Teamsとクラウドメールボックスを持つ組織で、管理者がTenant Allow/Block Listを使ってMicrosoft Teamsのドメインやメールアドレスのブロックエントリを作成・管理できると説明されています。(Microsoft Learn)
また、Teamsでドメインまたは送信者アドレスのブロックエントリを追加すると、その組織からの新しいTeams会議、チャット、チャネル、通話がブロックされ、既存のTeams会議、チャット、チャネル、通話は削除されるとされています。(Microsoft Learn)
これは影響が大きい操作です。誤って重要な取引先ドメインをブロックすると、進行中の会議やチャットにも影響する可能性があります。ブロック前には、少なくとも次の確認を行ってください。
| 確認項目 | 理由 |
|---|---|
| 対象ドメインが正規取引先ではないか | 業務停止を避けるため |
| サブドメインの扱い | contoso.comをブロックしても、既定ではmarketing.contoso.comなどのサブドメインはブロックされないため |
| 影響する部門・ユーザー | 営業、採用、サポートなど外部接点が多い部門への影響を把握するため |
| 一時ブロックか恒久ブロックか | 調査完了後の解除漏れを防ぐため |
| 記録と承認 | 後から「なぜ止めたか」を説明できるようにするため |
Microsoft Learnでは、Teamsのドメインブロックエントリ上限が4,000、ユーザーブロックエントリ上限が200、ブロックエントリは期限切れにならず、エントリは24時間以内に有効になると説明されています。(Microsoft Learn)
期限切れにならないということは、緊急対応で追加したブロックが長期間残り続ける可能性があるということです。月次または四半期ごとにブロックリストを棚卸しし、不要になったエントリを解除する運用を用意しておくと安全です。
開発者・アプリ管理者が確認すべきこと
この機能は主に管理者向けレポートですが、Teams連携アプリ、ボット、ワークフロー、外部組織との開発・運用プロセスを持つチームにも影響があります。
たとえば、外部ベンダーとTeamsで新しいサポートチャネルを立ち上げた、複数の外部ドメインを含むグループチャットを自動生成する運用を始めた、採用候補者との連絡をTeamsに集約した、といった変更は、異常検知の対象になり得ます。
| 確認対象 | チェックポイント |
|---|---|
| Teamsアプリ・ボット | 外部ユーザーとの会話を大量に開始する設計になっていないか |
| Power Automateなどの自動化 | 外部ドメインを含むチャットや会議作成を急増させていないか |
| 外部委託先との運用 | 新規プロジェクト開始時に情報システム部門へ事前共有しているか |
| 開発・検証テナント | 本番テナントと誤って外部接続していないか |
| 通知チャネル | アラート通知先に機微情報を見せてもよいメンバーだけがいるか |
開発者側でできる対策は、外部接触が増えるリリースや運用変更を管理者へ事前に共有することです。「この期間にこの外部ドメインとのチャットが増える」という情報があるだけで、セキュリティチームは誤検知とインシデント候補を切り分けやすくなります。
移行・展開時の注意点
Microsoft 365 Roadmapは、商用機能の予定時期や説明を示すもので、情報は変更される可能性があります。MicrosoftのRoadmapページにも、リリース日や説明は推定であり、情報は変更される可能性があると記載されています。(Microsoft)
そのため、展開計画では「2026年5月に全テナントで同じ日に確実に使える」と決め打ちしない方が安全です。実際の表示有無は、テナント、クラウド環境、管理センターの反映タイミングにより差が出る可能性があります。
展開前後のチェックリスト
| タイミング | 確認内容 |
|---|---|
| 展開前 | 外部アクセス設定、ゲストアクセス設定、匿名会議参加設定を棚卸しする |
| 展開直後 | Teams管理センターでProtection reportsに表示されるか確認する |
| 初回設定時 | External domains anomaliesアラートを有効化し、通知先チャネルを指定する |
| 初回アラート時 | 正当な業務増加か、不審な接触かを判断する手順を使う |
| 運用開始後 | 月次で検出ドメイン、ブロック履歴、解除漏れを確認する |
| 監査対応時 | レポート出力、判断記録、対応履歴を保存する |
「レポートを見る人」と「ブロックできる人」を分けるのも有効です。監視担当が異常を見つけ、セキュリティ責任者またはTeams管理者が承認してブロックする流れにすれば、誤操作のリスクを下げられます。
よくある誤解と失敗しやすいポイント
異常検知されたドメインは危険だと決めつける
異常検知は、あくまで通常パターンからの逸脱です。新規プロジェクト、イベント、採用活動、問い合わせ対応でも異常として出る可能性があります。まずは業務上の説明がつくかを確認してください。
アラートを有効にしたつもりで通知が来ない
External Domains Anomaliesのアラートは既定では有効ではありません。通知を受けるには、Notifications & alerts > RulesでExternal domains anomaliesを有効化し、通知先を設定する必要があります。(Microsoft Learn)
ドメインブロックだけで外部参加を完全に止めたと思い込む
外部アクセスでドメインをブロックしても、匿名参加が許可されている会議には別経路で参加できる場合があります。会議ポリシーや匿名参加設定も合わせて確認しましょう。(Microsoft Learn)
サブドメインを見落とす
Microsoft Learnでは、既定ではドメインをブロックしてもサブドメインはブロックされないと説明されています。必要に応じてPowerShellの -BlockAllSubdomains パラメーター利用も検討します。(Microsoft Learn)
ブロックリストを増やしっぱなしにする
Teamsのブロックエントリは期限切れになりません。緊急対応で追加したドメインを放置すると、後日正規の業務連携を妨げる原因になります。ブロック理由、追加日、解除予定、承認者を記録して管理しましょう。
実務でのおすすめ運用
External Domains Anomalies Reportは、導入しただけでセキュリティが完成する機能ではありません。効果を出すには、アラート、調査、判断、ブロック、解除、記録までを軽量な運用に落とし込む必要があります。
おすすめは、次のような運用です。
| 運用項目 | 推奨内容 |
|---|---|
| 通知先 | 情報システム部門またはSOCの専用Teamsチャネル |
| 確認頻度 | アラートは随時、レポートは週次または月次で確認 |
| 初動担当 | Teams管理者またはMicrosoft 365運用担当 |
| 判断支援 | 対象部門へ業務上の外部連携有無を確認 |
| 高リスク条件 | 未知ドメイン、複数部門への接触、高権限ユーザーへの接触 |
| 対応記録 | ドメイン、日時、検出内容、判断、対応、解除予定を残す |
| 棚卸し | ブロックリストと外部アクセス設定を定期レビュー |
中小規模の組織では、まず「アラート有効化」と「週1回のレポート確認」から始めるのが現実的です。大規模組織や外部委託先が多い組織では、部門別の外部連携台帳や、重要部門の優先調査ルールを作ると精度が上がります。
まとめ：まずは外部アクセス設定とアラート有効化から始める
Microsoft Teams: External Domains Anomalies Reportは、外部ドメインとの通常とは異なるTeamsコミュニケーションを可視化し、データ共有やセキュリティリスクの早期発見を支援する管理者向けレポートです。2026年5月時点でWorldwide向けにRolling outとなっており、外部組織とのコラボレーションが多い企業ほど確認しておきたい更新です。(Microsoft)
管理者が最初に行うべきことは、Teams管理センターでレポートの表示有無を確認し、External domains anomaliesのアラートを有効化することです。そのうえで、外部アクセス設定、匿名会議参加、ゲストアクセス、Tenant Allow/Block Listの運用を見直しましょう。
検出結果は「即ブロック」ではなく、「調査の入口」として扱うのがポイントです。正当な外部連携を妨げず、危険な接触には早く対応できるよう、通知先、判断基準、記録方法、ブロック解除のルールまで整えておくことが、Teamsの安全な外部コラボレーション運用につながります。
コメント