Microsoft Teamsのログイン画面や操作画面を模倣した不審なドメイン「teams-cloud[.]live」が、2026年10月18日にセキュリティ研究者から報告されました。Microsoft Teamsを業務で利用する従業員や企業のIT管理者は、偽サイトへのアクセスや認証情報の入力に注意が必要です。現時点ではパスワードの窃取被害は確認されていませんが、管理者にはドメインの遮断とアクセス履歴の調査が推奨されています。
- Microsoft Teamsを模倣した偽ログインサイトが報告される
- 不審なドメインと確認された挙動
- Teamsの更新操作でTXTファイルがダウンロードされる挙動も確認
- 「amgen.teams-cloud.live」も確認、企業への侵害は断定できない
- 過去のMicrosoft Teams関連フィッシングとの共通点
- 企業のIT管理者が実施すべき確認方法とブロック対策
- 従業員が偽Microsoft Teamsサイトに遭遇した場合の対処方法
- よくある質問（FAQ）
- まとめ：偽Teamsサイトへのアクセス確認と遮断を優先
Microsoft Teamsを模倣した偽ログインサイトが報告される
セキュリティ研究者のSteven Lim氏は、2026年10月18日、Microsoft Teamsのログイン画面とユーザーインターフェースを模倣したWebサイトについて警告しました。
問題のドメインは「teams-cloud[.]live」です。報告時点で登録からわずか5日しか経過していない新しいドメインであり、正規のMicrosoft Teamsと誤認させるような画面構成が確認されています。
Steven Lim氏は、従業員が不審なサイトに接触する前に、企業側で対象ドメインをブロックするよう呼びかけています。
今回の問題は、Microsoft Teamsそのものに脆弱性が発見されたという報告ではありません。正規サービスに似せた画面を利用し、利用者を不正なログイン操作へ誘導するフィッシング攻撃の疑いが中心となっています。
ただし、取得された報告では、実際にサイトを訪問した人数、パスワードの窃取件数、サイトの運営者は特定されていません。確認された偽装行為と、実際の情報窃取被害は区別して判断する必要があります。
不審なドメインと確認された挙動
報告に登場するドメインと挙動を整理すると、次のとおりです。
| 確認項目 | 報告された内容 |
|---|---|
| 報告日 | 2026年10月18日 |
| 報告者 | セキュリティ研究者 Steven Lim氏 |
| 不審なドメイン | teams-cloud[.]live |
| 関連サブドメイン | amgen[.]teams-cloud[.]live |
| ドメイン登録時期 | 報告時点で登録から5日 |
| 偽装対象 | Microsoft Teamsのログイン画面とユーザーインターフェース |
| ダウンロード動作 | Teams更新オプションの選択でTXTファイルをダウンロード |
| 認証情報の窃取 | 実際の窃取を裏付ける証拠は報告に含まれていない |
| 推奨対策 | Tenant単位でのブロック、Webフィルタリング、関連アクセス履歴の確認 |
ドメインの表記にある「[.]」は、誤ってアクセスしないようドットを置き換えたものです。実際に接続先を調査する際は、セキュリティ管理ツール上で対象ドメインを確認してください。
Teamsの更新操作でTXTファイルがダウンロードされる挙動も確認
Steven Lim氏の報告では、偽サイト上に表示されたTeamsの更新オプションをクリックすると、TXTファイルがダウンロードされたとされています。
ただし、報告にはダウンロードされたファイルの内容、ファイルハッシュ、コード実行の証拠は含まれていません。そのため、このTXTファイルをマルウェアと断定することはできません。
重要なのは、Teamsの更新を装う操作によって、利用者が予期しないファイルを取得する可能性がある点です。
企業のセキュリティ担当者は、対象サイトへのアクセス履歴とダウンロード履歴を照合することで、従業員が不審な操作を実行していないか確認できます。
従業員側では、Teamsの更新を要求された場合、表示された画面をそのまま信用せず、組織で定められたITサポート窓口を通じて更新の必要性を確認することが重要です。
「amgen.teams-cloud.live」も確認、企業への侵害は断定できない
Steven Lim氏は、報告に付随する固定コメントで「amgen[.]teams-cloud[.]live」というサブドメインにも言及しています。
このアドレスには、ヘルスケア関連企業を想起させる名称が組み込まれています。
ただし、サブドメインに企業名が含まれていることだけでは、Amgenへの不正侵入や従業員アカウントの侵害が発生した証拠にはなりません。
攻撃者が企業名や業務システム名をURLに組み込んだ場合、利用者が正規の社内サービスと誤認する可能性があります。
ログイン画面の見た目が本物に近くても、表示されているドメインが正規サービスと無関係であれば、安全なログイン先であるとは判断できません。
過去のMicrosoft Teams関連フィッシングとの共通点
Steven Lim氏は、2026年10月8日に共有した別の事例と、今回の偽サイトの外観が似ていることも指摘しています。
ただし、画面構成が似ていることだけで、同一の攻撃者が両方のサイトを運営しているとは断定できません。
また、Cyber Security Newsは過去に、Microsoft Teamsを通じてITヘルプデスクの担当者を装い、従業員にダウンロードやリモートアクセスを促す攻撃を取り上げています。
別の報告では、ブラウザー上のTeamsリダイレクトを利用した偽ログインページも紹介されています。
これらの活動と今回のドメインとの直接的な関連は確認されていませんが、いずれも業務で日常的に利用するサービスへの信頼を悪用する点が共通しています。
そのため、フィッシング対策ではメールだけでなく、チャット、ログイン画面、更新通知、ダウンロード操作まで含めた確認が必要になります。
企業のIT管理者が実施すべき確認方法とブロック対策
今回の報告では、対象ドメインへの通信確認と、Microsoftのセキュリティ機能を利用した遮断が推奨されています。企業のIT管理者は、利用中の製品構成と管理権限に応じて、次の順番で対応を検討してください。
1. 不審なドメインへのアクセス履歴を確認する
- Webフィルタリング、プロキシ、DNS、セキュリティ監視製品などで、対象ドメインへのアクセス記録を検索します。
- 「teams-cloud[.]live」と「amgen[.]teams-cloud[.]live」の通信履歴を確認します。
- アクセスした端末や利用者、接続日時、通信が許可されたか遮断されたかを整理します。
- 関連するブラウザーのダウンロード履歴とサインイン履歴を照合します。
通信履歴が存在する場合でも、それだけでパスワードが盗まれたとは判断できません。実際に何が操作されたかを分けて調査することが重要です。
2. MicrosoftのTenant Allow/Block Listを確認する
Microsoftは、Tenant Allow/Block ListによるURLのブロック機能を文書化しています。
管理者は、自社で利用可能なMicrosoftのセキュリティ管理機能を確認し、報告されたURLやドメインについて適切な遮断ルールを検討してください。
なお、Tenant Allow/Block Listの設定だけで、あらゆるブラウザーや通信経路からのアクセスを遮断できるとは限りません。
設定後は、対象となる通信経路で想定どおり制御されているか検証する必要があります。
3. Defender network protectionやWebフィルタリングを利用する
Microsoftは、Defender network protectionを利用したカスタムドメインのブロック方法も提供しています。
企業のIT管理者は、導入済みのMicrosoft Defender機能やWebフィルタリング製品を利用し、不審な接続先を遮断することを検討してください。
利用するセキュリティ製品や設定によって、保護対象となる端末、アプリケーション、通信経路が異なる可能性があります。
そのため、単一の設定に依存せず、管理対象端末での制御範囲とログ取得状況を確認することが重要です。
4. 関連するダウンロードとサインイン履歴を調査する
対象サイトへのアクセスが確認された場合は、Teams更新を装った操作によってTXTファイルがダウンロードされていないか確認してください。
報告ではTXTファイルが実行可能な不正プログラムであるとは確認されていないため、ファイルの存在だけでマルウェア感染と判断しないことが重要です。
あわせて、対象利用者のサインイン履歴を確認し、不審なログイン操作や認証情報の入力が疑われる状況がないか調査してください。
従業員が偽Microsoft Teamsサイトに遭遇した場合の対処方法
Microsoft Teamsを利用する従業員は、普段と似た画面が表示されても、ログイン先のドメインと更新要求の正当性を確認してください。
不審な画面を開いた場合は、次の対応が有効です。
- 「teams-cloud[.]live」や報告された関連サブドメインへのアクセスを避けます。
- 不審なログイン画面に会社のIDやパスワードを入力しないでください。
- Teamsの更新を求められても、その画面から安易にファイルをダウンロードしないでください。
- 更新要求が正規のものか、社内で定められたITサポート窓口へ確認してください。
- すでに認証情報を入力した場合は、速やかに社内のセキュリティ担当者へ報告し、組織の手順に従って認証情報の変更やアカウントの保護を進めてください。
- ファイルをダウンロードした場合は、ファイル名や保存場所、操作時刻を担当者に伝え、確認が終わるまで不用意に開かないでください。
特に、見覚えのあるTeamsの画面が表示されたことを、安全性の根拠としないことが重要です。
よくある質問（FAQ）
今回の問題はMicrosoft Teamsの脆弱性ですか？
今回の取得情報は、Microsoft Teamsの画面を模倣した不審なWebサイトについての報告です。Teams本体の脆弱性が悪用されたことを示す情報は含まれていません。
偽サイトでパスワードが盗まれた被害者はいますか？
2026年10月18日の報告では、サイトへの訪問人数やパスワードの窃取件数を裏付ける情報は示されていません。偽サイトの存在と認証情報の流出被害を同一視しないことが重要です。
ダウンロードされるTXTファイルはウイルスですか？
現時点の報告には、ファイルの内容、ハッシュ、コード実行を示す証拠がありません。そのため、マルウェアと断定できません。ただし、正規の更新を装った予期しないダウンロードであるため、企業のセキュリティ担当者による確認が必要です。
Amgenがサイバー攻撃を受けたという意味ですか？
いいえ。報告されたサブドメインに企業名が含まれていることだけでは、Amgenが侵害されたとは判断できません。企業のシステムや従業員アカウントが不正アクセスされた証拠も、この取得情報には含まれていません。
対象ドメインをブロックすれば対策は完了ですか？
ドメインの遮断は重要な対策ですが、すべての通信経路を保護できるとは限りません。WebフィルタリングやDefenderの設定範囲を確認し、関連するアクセス履歴とサインイン履歴を調査することが推奨されます。
まとめ：偽Teamsサイトへのアクセス確認と遮断を優先
2026年10月18日に報告された「teams-cloud[.]live」は、Microsoft Teamsのログイン画面とユーザーインターフェースを模倣した不審なドメインです。
Teams更新を装った操作でTXTファイルがダウンロードされる挙動も報告されていますが、現時点では認証情報の窃取被害やマルウェア実行が確認されたわけではありません。
企業のIT管理者は対象ドメインへの通信履歴を確認し、Tenant Allow/Block ListやDefender network protection、Webフィルタリングなどを利用した遮断を検討することが優先事項です。
従業員は、見慣れたTeamsのログイン画面であっても、接続先のドメインを確認し、予期しない更新要求やダウンロードには応じず、社内ITサポート窓口を通じて正当性を確かめてください。
今回の事例は、業務で信頼されているサービスの外観を模倣するだけでも、フィッシングの入口になり得ることを示しています。
