「検疫にメッセージがあります」の確かめ方と解放｜Microsoft 365 の利用者がやること・管理者がやること

「Microsoft 365 セキュリティ」「検疫にメッセージがあります」といった件名のメールが届いた。取引先からのはずのメールが受信トレイにも迷惑メールフォルダーにも無い。こうしたときに、社員から相談を受けた情シスの担当と、通知を受け取った本人に向けた記事です。検疫は、Microsoft 365 が危険そうなメールや不要そうなメールを、受信トレイに入れずに預かっておく場所です。預かったメールは、Microsoft Defender ポータルの［検疫］の画面で見て、受信トレイに出す（解放する）か、そのままにするかを決めます。

この通知で最初に迷うのは、解放の操作より手前の「この通知そのものは本物か」と「自分で出してよいメールか」の2つです。通知は見た目も文面も、アカウントの確認を求めるフィッシングのメールに似ています。この記事では、本人と情シスが同じページで判断できるように、通知が届く仕組みと本物の確かめ方を先に、そのあとで利用者がやること、管理者がやること、検疫に残る日数、会社として決めておくことの順に書きます。内容は、Microsoft 365 と生成 AI の導入を支援している当社が、Microsoft の公式の説明と当社の検証用の環境の画面で確かめたものです。迷惑メールフォルダーに入ったメールと許可リストの話は、Outlook の迷惑メールと許可リストの記事で扱っています。

通知は、管理者が「通知つき」の検疫ポリシーを使っているときだけ届く

どのメールを検疫に入れるか、検疫したメールで本人が何をできるかは、管理者の設定で決まります。前者はスパム対策・フィッシング対策・マルウェア対策などの脅威ポリシー、後者が検疫ポリシーです。検疫ポリシーは、検疫されたメールで受信者ができる操作と、受信者に検疫の通知を送るかどうかを決めます。

Microsoft があらかじめ用意している既定の検疫ポリシーのうち、AdminOnlyAccessPolicy と DefaultFullAccessPolicy では、通知はオンになっていません。通知が出るのは、DefaultFullAccessWithNotificationPolicy、2021年7〜8月より前からある組織の一部にある NotificationEnabledPolicy、それに管理者が通知をオンにして作った検疫ポリシーのときです。DefaultFullAccessWithNotificationPolicy は、Defender ポータルの［既定のセキュリティ ポリシー］で「標準的な保護」か「厳重な保護」をオンにしたときに使われます。［既定のセキュリティ ポリシー］は画面の題で、Learn の日本語版では「事前設定されたセキュリティ ポリシー」と呼ばれています。この記事でいう既定のスパム対策ポリシーや既定の検疫ポリシーとは別のものです（オンにするかどうかはBusiness Premium の最初の設定の記事で扱っています）。つまり、通知が届いたということは、会社の管理者がどこかで通知の出る設定を選んでいる、ということです。

当社の環境で、既定のスパム対策ポリシー（画面の名前は「迷惑メール対策の受信ポリシー (既定)」）の詳細を開いてみました。スパム・信頼性の高いスパム・フィッシング・バルクの4つの判定はどれも「メッセージを迷惑メール フォルダーに移動する」で、検疫に入れる設定は「信頼性の高いフィッシング メッセージ アクション」の「メッセージを検疫する」だけでした。Learn の推奨設定のページに載っている既定値と同じです。そこに割り当てられている検疫ポリシーは AdminOnlyAccessPolicy で、通知は出ません。また、［既定のセキュリティ ポリシー］の「標準的な保護」「厳重な保護」は、2026年10月28日に同じ環境で開いたときはどちらもオフでした。なのでこの環境では、少なくともスパム対策の既定のポリシーからは、社員に検疫の通知は届かない設定です。

通知には、検疫されたメールごとに送信者のアドレス、件名、検疫された日時（UTC）が並び、メールごとにボタンが付きます。［メッセージを確認］はすべてのメールに付き、［リリース］（解放）は本人が解放できる検疫ポリシーのとき、［リリースの要求］は要求だけ許すポリシーのとき、［送信者のブロック］はそれを許すカスタムのポリシーのときに付きます（ボタンの名前と付く条件は Learn の日本語版による）。Learn に載っている通知の見本（英語の画面）では、件名は「Microsoft 365 security: You have messages in quarantine」です。日本語の環境で届く件名の文字どおりの表記は、確かめていません。

通知の送信者は、既定では quarantine@messaging.microsoft.com です。管理者が社内のユーザーのアドレスに変えていることもあります（変える場所は「会社として決めておくこと」の節）。

宛先にも注意が要ります。配布グループやメールが使えるセキュリティ グループあてのメールが検疫されると、通知はグループの全員に届きます。共有メールボックスあての分について Microsoft がサポートしているのは、その共有メールボックスにフル アクセスの権限を持つ人に届く形だけです。部署の代表アドレスが配布グループなら、そこあての営業メールが検疫されると、部署の全員に同じ通知が届く、ということです。

この記事に関連するサービス

M365・Google Workspace の移行と設定の相談移行と設定を、1件から相談できます。詳しく見る →Microsoft 365 導入支援Exchange・SharePoint・Teamsの移行から権限設計・Copilot活用まで詳しく見る →Google Workspace 導入・移行支援Gmail移行から権限設計・Gemini活用まで詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →Notion 導入支援議事録・ナレッジ・タスクを一箇所にまとめる詳しく見る →

通知が本物かは、差出人とリンクの行き先を見て、押さずに自分で開いて確かめる

検疫の通知は「メールを預かっています。確認してください」という形なので、同じ形を装ったフィッシングのメールと見分けがつきにくくなります。フィッシングの兆候の例には、リンクの表示と実際の行き先が違うこと、正規のアドレスに数字を足したり1文字変えたりした差出人であることがあります。疑わしいときは、知っている窓口で確かめます（Microsoft のフィッシングの説明）。

検疫の通知では、この「知っている窓口」に当たるものがはっきりしています。通知の［メッセージを確認］を押すと開くのは、Defender ポータルの［検疫］でそのメールを選んだときと同じ詳細の画面で、［検疫］に直接行くアドレスは https://security.microsoft.com/quarantine です（利用者向けのページ）。そこで、通知のリンクは押さずに、ブラウザのアドレス欄にこのアドレスを自分で入れて開き、通知と同じ送信者・件名のメールが一覧にあるかを見ます。一覧にあれば、通知の中身は本物と同じです。一覧に無ければ、情シスに知らせます。

利用者向けのページで、解放のときに入力を求められるとしているのは、パスワードで保護された添付ファイルのために検疫されたメールだけです。このときは添付ファイルのパスワードを聞かれます。この画面にアカウントのパスワードや銀行のパスワードは入れません。保護されたファイルが届く心当たりが無いなら、解放せずにセキュリティの担当へ知らせます。

利用者がやること：［検疫］を開いて、検疫の理由とボタンを見る

検疫のページは、Defender ポータルの［メールとコラボレーション］＞［確認］＞［検疫］の［メール］タブです。管理者ではない社員もここを開けます。社員にこのページを見せないようにする設定はありません（検疫の FAQ）。

［検疫］の画面は、上の位置の表示が「確認 > 検疫」、タブが「メール」・「ファイル」・「Teams のメッセージ」で、一覧の上に「更新」・「解放」・「拒否」・「メッセージの削除」・「メッセージのプレビュー」などのボタンが並びます。Learn の日本語版はこのボタンを［リリース］と書いていますが、画面の表記は［解放］です。この記事では、画面で確かめたボタンは画面の表記で書きます。当社の環境では検疫に入ったメールが無く、一覧は「利用できるデータはありません」でした。画面と写真は管理者の権限で開いたもので、社員の権限で開いた画面は見ていません。社員が開いた場合に並ぶのは、自分あてのメールのうち、割り当てられた検疫ポリシーで見てよいものだけです（利用者向けのページ）。

一覧の列には、受信時間・件名・送信者・検疫の理由・解放の状態・ポリシーの種類・有効期限などが並びます。見るのは「検疫の理由」と「有効期限」の2つです。理由によって押せるボタンが決まり、有効期限を過ぎるとそのメールは自動で消えます。受信時間の範囲は、この画面では一覧の上に「受信時間: 過去 30 日間」と出ていました。Learn は利用者向けのページで過去7日と過去30日の両方に「既定値」と書いていて、前回の条件が次に開いたときにも残るとしています。古いメールが見つからないときは、この表示を見て、［フィルター］で受信時間の範囲を広げます。検索の欄は、送信者のアドレスか件名の全体で探し、ワイルドカードは使えません。

既定の設定では、スパム・バルク・フィッシング・なりすまし・偽装で検疫されたメールは、本人が見て、解放し、削除できます。一方、マルウェア・高確度のフィッシング・メールフロールールで検疫されたメールは、既定では管理者しか扱えず、本人の一覧にも出ません。しかも、マルウェア対策ポリシーがマルウェアとしたもの、安全な添付ファイルがマルウェアかフィッシングとしたもの、スパム対策ポリシーが高確度のフィッシングとしたものは、管理者が検疫ポリシーで解放を許しても、本人ができるのは解放の要求までです（検疫の概要）。

スパム対策ポリシーのほかに、すべてのクラウド メールボックスにあるフィッシング対策ポリシーも、送信元のドメインが DMARC で p=quarantine を宣言していて、なりすましと判定されたメールを、既定で検疫します。取引先の送信ドメインの認証（SPF・DKIM・DMARC）が整っていないと、正規のメールでもここに入ることがあります。SPF・DKIM・DMARC が無いか正しくないと、Microsoft が推奨する設定のままでも正規のメールが迷惑メールフォルダーか検疫に入ることがあるので、まず認証を直します。自社から送るメールの側の設定は、Microsoft 365 で SPF・DKIM・DMARC を設定する記事で順に書いています。

［フィルター］の「検疫の理由」には、「トランスポート ルール」・「バルク メール」・「迷惑メール」・「データ損失防止」・「マルウェア」・「管理アクション – ファイルの種類のブロック」・「フィッシング」・「高確度のフィッシング」・「パスワードで保護された項目」が並びます。Learn の日本語版で「スパム」と書かれている理由は、画面では「迷惑メール」です。

自分で解放する

一覧でメールを選び、［解放］を押します。開いた画面で、必要なら「メッセージに脅威がないことを報告」（Learn の日本語版の表記）を選んでから解放を確定すると、メールは受信トレイ（受信トレイのルールがあればその行き先のフォルダー）に届き、解放の状態が「解放済み」に変わります。確定の画面は、当社では見ていません（検疫に入ったメールが無かったため）。

解放は、元の位置に戻す「復元」ではなく、受信トレイへの再配信です。Outlook には解放した時刻に届いたメールとして並び、元の送信日時はメールのヘッダーに残ります。古いメールを解放したあと、元の日付のあたりを探しても見当たらないときは、解放した時刻の位置（受信日時の新しい順なら上のほう）を見ます。受信トレイのルールがあるなら、その行き先のフォルダーも見ます。

解放の前に中身を見たいときは［メッセージのプレビュー］を使います。［ソース］のタブは、リンクがすべて無効になった状態で本文を見せるので、リンクを誤って押す心配がありません。ヘッダーは［メッセージ ヘッダーの表示］で見られます。

［解放］が灰色のとき

メールを選んでも［解放］が灰色で押せないのは、想定どおりの動きです。検疫の理由か、割り当てられた検疫ポリシーのために、本人が解放できないメールだからです。この場合は解放の要求のボタン（Learn の日本語版の表記は［リリースを要求］）を押すか、管理者に解放を頼みます。同じメールに解放と解放の要求の両方が出ることはありません。要求を出すと解放の状態が「要求された解放」に変わり、管理者が承認か拒否を決めます。

本人の一覧にそのメールが無いときは、情シスに送信者のアドレス・件名・届くはずだった時刻を伝えて、管理者の一覧から探してもらいます。

［送信者の許可］（Learn の日本語版の表記）は、そのメール1通だけでなく、送信者を自分のメールボックスの「差出人セーフ リスト」に足す操作です。次からその送信者のメールの扱いも変わるので、取引先だと確かめられた相手にだけ使います。当社が検疫ポリシーの詳細を開いたときは、これに当たるアクセス許可が「受信許可」の名前で出ていました。メールを選んだときのボタンの表記は、一覧が空だったため見ていません。

管理者がやること：一覧から探し、解放か要求の承認を決める

管理者は、組織の全員の、すべての理由の検疫メールを見て、解放し、削除できます。Defender ポータルでこれをするには、Defender の「検疫管理者」「セキュリティ管理者」「組織管理」のどれかの役割グループか、Microsoft Entra の「セキュリティ管理者」か「グローバル管理者」の役割が要ります。見るだけなら「グローバル閲覧者」「セキュリティ閲覧者」「セキュリティ オペレーター」で足ります。グローバル管理者は緊急時に限るよう勧められているので（管理者向けのページ）、解放を任せる担当には「検疫管理者」を渡すのが、この分け方に沿った形です。なお、Microsoft Defender XDR の統合ロール ベース アクセス制御（RBAC）で「Email & collaboration > Defender for Office 365」のアクセス許可をアクティブにしている組織では、Defender ポータルでの操作は、上の Defender の役割グループではなく、統合 RBAC の個々のアクセス許可で決まります。その場合も Microsoft Entra の役割はそのまま効き、Entra のセキュリティ管理者は管理者の権限を保ちます（統合 RBAC のページ）。

管理者の権限で開いた［フィルター］には「受信者」の欄もあり、「すべてのユーザー」・「自分のみ」を選べます。Microsoft の説明では、管理者が［送信者の許可］や［送信者のブロック］（どちらも Learn の日本語版の表記）を使えるのは「自分のみ」に絞ったときだけです。この画面では、一覧の［その他］の中に「受信拒否」という項目があり、名前からは［送信者のブロック］に当たるものと当社はみています。この画面で、どの絞り込みのときに押せるかは、一覧が空だったため確かめていません。「解放の状態」には「要確認」・「処理しています」・「不確定なものの再スキャン」・「悪意のあるものの再スキャン」・「拒否済み」・「要求された解放」・「解放済み」が並び、「要求された解放」を選ぶと、解放の要求が出ているメールだけに絞れます。Learn の日本語版では、この値は「リリースが要求されました」と書かれています。

管理者の一覧は、最初の100件だけが出て、下へ送ると続きが読み込まれます。検索の欄が探すのは今表示している範囲（100件まで）だけなので、全体から探すときは［フィルター］を使います。メッセージ追跡で配信されずに検疫されたと分かったメールなら、［フィルター］の「メッセージ ID」に山括弧も含めた値を入れると1通に絞れます。

利用者が解放を要求すると、既定ではアラート ポリシー「ユーザーが検疫済みメッセージのリリースを要求した」により、管理者特権を持つ人に知らせが届きます。管理者は、一覧で同じメールを選んで［解放］か［拒否］を選びます。拒否は全員に対してだけで、受信者ごとに分けることはできません。解放したあと受信トレイに届いたかは、メッセージ追跡で確かめられます。結果の状態と詳細の読み方は、メッセージ追跡の記事に書いています。

Microsoft の説明では、管理者は解放のときに、ほかの受信者にもコピーを送ることを選べます。さらに、セキュリティ管理者の役割グループ（または Microsoft Entra のセキュリティ管理者の役割）の人には、誤って検疫されたとして Microsoft に送る選択肢が出て、それを選ぶと［このメッセージを許可する］も出てきます。これを選ぶと、テナントの許可/ブロック リストに、送信者とメールの中の URL・添付ファイルの許可が入り、既定では最終使用日から45日残ります。統合 RBAC を使っていない組織では、Learn がこの2つの選択肢を使えるとしている役割に、検疫管理者は入っていません。

当社の考えでは、1通を出すつもりの解放で［このメッセージを許可する］まで選ぶのは避け、取引先から同じ形のメールが続いて検疫されるときに限って使います。許可は会社全体にかかり、同じ送信者と URL の次のメールも通りやすくするからです。解放を任せる担当に検疫管理者を渡しておけば、Learn の記述どおりなら、この許可はその担当の画面には出ず、足すかどうかはセキュリティ管理者が決めることになります。取引先の送信ドメインの認証が原因で検疫が続くなら、許可を足すより、取引先にその状況を伝えて直してもらうほうが根本の対処になります。

メールが一覧に見つからないときは、3つを疑います。1つは、ブロックした送信者のメールで、一覧は既定で絞られています（この画面の表示は「ブロックする差出人: ブロックされた送信者のリストを表示しない」）。［フィルター］の「ブロックする差出人」で「すべての送信者を表示」を選ぶと出てきます。2つ目は期限切れ（日数は次の節）、3つ目は削除です。削除したメールも戻せませんが、検疫の操作はすべて監査されるので、監査ログで誰が削除したかを探せます。それでも分からないときは、そのメールから7日以内に Microsoft のサポートに問い合わせるよう、Learn の FAQ は勧めています。

何日残るか：既定のスパム対策ポリシーなら15日、過ぎると戻せない

検疫に残る日数は、検疫の理由によって違います。スパム対策ポリシーで検疫されたメールは、既定のスパム対策ポリシーで15日、［既定のセキュリティ ポリシー］の「標準的な保護」「厳重な保護」で30日です。既定とカスタムのスパム対策ポリシーでは1〜30日に変えられます。フィッシング対策ポリシーで検疫されたもの（なりすまし・偽装）も、スパム対策ポリシーの日数に従います。マルウェアとメールフロールールで検疫されたものは30日で、変えられません。

期限が来たメールは完全に削除され、回復できません。一覧の［有効期限］の列が、そのメールが消える日時です。通知の間隔は4時間ごと・毎日・毎週から選べますが、毎週にしていると、15日の期限の中で通知が届くのは2回ほどです。4時間ごとにしていても、通知を作った直後に検疫されたメールは4時間以上たってから知らされます。取引先のメールを見落とさないよう、間隔は期限と合わせて決めます。

会社として決めておくこと：通知を出すか、誰が解放するか

既定の検疫ポリシーは、アクセス許可も通知の設定も読み取り専用で、変えられません。削除もできません。通知を出したいときは、通知つきのポリシー（DefaultFullAccessWithNotificationPolicy など）か、自分で作った検疫ポリシーを、脅威ポリシーの各判定に割り当てます。アクセス許可のグループは3つで、「フル アクセス」は本人が解放でき、「制限付きアクセス」は解放の要求まで、「アクセスなし」は何もできません。

当社が見たときの［検疫ポリシー］（上の位置の表示は「ポリシーとルール > 脅威ポリシー > 検疫ポリシー」）には、DefaultFullAccessPolicy・AdminOnlyAccessPolicy・DefaultFullAccessWithNotificationPolicyの3つがあり、NotificationEnabledPolicy はありませんでした。ボタンは「カスタム ポリシーを追加」・「更新」・「エクスポート」・「グローバル設定」です。

既定のポリシーを開くと、「ユーザー メッセージ アクセス」と「検疫通知」が表示され、下のボタンは「閉じる」だけで、編集のボタンはありません。DefaultFullAccessPolicy と DefaultFullAccessWithNotificationPolicy は、どちらもユーザー メッセージ アクセスが「メッセージを検疫から解放する」・「メッセージを削除する」・「メッセージのプレビュー」・「受信許可」の4つで、違うのは検疫通知の欄だけでした。後者の検疫通知の欄は「受信禁止送信者のアドレスからのメッセージが除外された状態で有効になりました。」です。ブロックした送信者のアドレスからのメールを通知に含めない設定（既定）では、ブロックした送信者やバルクの判定で検疫されたメールは通知されず、ほかの理由のものは通知されます（検疫ポリシーのページ）。AdminOnlyAccessPolicy は、ユーザー メッセージ アクセスの欄に何も出ていませんでした。

決めることは2つです。1つは、通知を出すかどうかです。通知を出さない既定のままなら、社員は自分で［検疫］を開かないかぎり、預かられたメールに気づきません。取引先のメールが届かないと言われたときに［検疫］を開くよう、社内の手順に書いておきます。通知を出すなら、通知を装ったフィッシングとの見分け方（本物かを確かめる節の4つ）を社員に伝え、通知の送信者を社内のアドレスにするかもあわせて決めます。

通知の送信者のアドレスや表示名は、［検疫ポリシー］の［グローバル設定］で決めます。

［グローバル設定］を開くと、見出しが「検疫通知の設定」で、「送信者の表示名」・「送信者のアドレスを指定する」・「件名」・「免責事項」・「言語を選択してください」・「会社のロゴを使用」・「エンドユーザーのスパム通知を送信する」の欄が並んでいました。送信者のアドレスは社内のユーザーのアドレスに変えられ（この画面では、欄の下に「組織のドメインの送信者アドレスを入力してください」とあります）、送信者の表示名・件名・末尾の免責事項は最大3つの言語で変えられます（検疫ポリシーのページ）。「会社のロゴを使用」の下には「会社のロゴがアップロードされていないようです。」と出ていました。通知の上の Microsoft のロゴを会社のロゴに替えるには、先に組織の Microsoft 365 のテーマにロゴを上げておきます。通知の間隔の欄（エンドユーザーのスパム通知を送信する）は、当社が見たときは「毎日」でした。

もう1つは、誰が解放を決めるかです。本人に解放させる（フル アクセス）か、要求させて情シスが承認する（制限付きアクセス）かで、情シスの手間と見落としの起きやすさが入れ替わります。本人に任せると、通知を見ない社員あてのメールは、本人が［検疫］を開かないかぎり解放されないまま期限を迎えます。要求させると、情シスが要求を見るまで、取引先のメールは届きません。当社の考えでは、少人数の会社では、スパムやなりすましは本人に任せ、要求が出たときに見る担当を1人決めて「検疫管理者」を渡しておくのが、扱いやすい分け方です。その担当が誰かは、社員に知らせておきます。

期限が来る前に［検疫］を見る人を決めておく

検疫に入ったメールは、削除されていなければ、期限までは管理者が解放できます。当社の考えでは、検疫の決めごとで最初に埋めるのは、期限が来る前に［検疫］を見る人の名前です。

検疫ポリシーや通知の決め方を、メールの運用の決めごとと一緒に整えたい場合は、Microsoft 365 の導入支援でお手伝いしています。

この記事の確かめ方

画面の名前は、当社の検証用の環境（Microsoft 365 Business Premium）の Microsoft Defender ポータルで2026年10月29日に開いて確かめ（［既定のセキュリティ ポリシー］の画面だけは2026年10月28日）、手順と仕組みは Microsoft Learn の日本語版で2026年10月29日に確かめました。Learn の説明は、利用者向け・管理者向け・検疫ポリシー・検疫通知の主に4つのページに分かれていて、受け取った本人が読むページと情シスが読むページが別々だったため、この記事では1本にまとめています。

写真はどれも管理者の権限で開いた画面で、社員の権限で開いた［検疫］は見ていません。当社の環境には検疫に入ったメールが無く、通知も受け取っていないため、解放の確定の画面と通知のメールも見ていません。

Microsoft Defender ポータルの画面は更新が続いているため、作業の前に各ページの最新を確かめてください。