Microsoftと医療分野の情報共有団体Health-ISACは2026年10月14日、フィッシング詐欺に使われるアカウントや偽サイト作成ツールを販売する「YAM Store」「CoGUI」「Iron Man」の運営基盤となるドメインを差し押さえたと発表した。調査のきっかけは日本の警察庁から提供された情報で、これらのサービスは2026年に入って10億件を超える悪性メッセージの送信を支えていたという。犯罪者は偽サイトを一から作る必要がなく、正規のクラウドサービスから不正に調達されたアカウントや、標的の国・組織に合わせた偽画面を購入できた。今回の措置は、個々の詐欺メッセージの背後にある犯罪サービスの供給網を狙ったものだ。

AD

日本の調査がたどり着いた詐欺の卸売市場

Microsoftの発表によると、調査は2025年後半、警察庁が日本の利用者を狙う悪性メッセージに関する情報を提供したことから始まった。宅配便の不在通知や銀行口座の確認を装い、パスワードや決済情報を盗み取る手口を調べた結果、中国語で運営される複数の犯罪サービスがつながっていることが判明した。

日本サイバー犯罪対策センター（JC3）も、警察庁や会員企業と連携し、国内の被害実態や具体的な情報を提供したと説明している。被害者から見れば、それぞれ異なる企業を装った別々の詐欺であっても、使用されたツールや販売者をたどることで共通点が見つかる。国内で集約された被害情報が、国外に拠点を置く犯罪サービスの供給者を特定する手掛かりとなった。

Microsoftによると、これらのサービスは2026年1月以降、10億件を超える悪性メッセージの送信を可能にし、7万5,000を超える組織が標的になった。このうちMicrosoftの顧客に向けられたメッセージは7億5,000万件を超える。ただし、これらはメールやSMSを含む悪性メッセージの送信規模を表す数字であり、同じ数の人が実際に金銭的被害を受けたことを意味するわけではない。

今回のドメインの差し押さえと転送は、米フロリダ州南部地区連邦地方裁判所の命令に基づき、MicrosoftとHealth-ISACが実施した。MicrosoftはYAM Storeに関連する2万以上のアカウントを無効化するとともに、なりすましや詐欺に使われた10万以上のドメインの遮断も進めている。ただし、ドメインの遮断と裁判所命令に基づく差し押さえは異なる措置であり、両者を混同すべきではない。今回の作戦では、犯罪者が利用するアカウントの無効化と、詐欺を支えるドメインへの対処を組み合わせている。

正規クラウドの信用と保存領域まで売る

YAM Storeが販売していたのは、不正に取得したMicrosoftやGoogleのクラウド環境だった。Microsoftの技術報告によると、購入者はアカウントの利用履歴や契約種別に応じて商品を選ぶことができ、教育機関や非営利団体のクラウド環境も扱われていた。単にログインできるアカウントではなく、そのアカウントに付随する信用や利用可能なサービスまで商品になっていた。

アカウントの調達方法の一つが、かつて正規の組織が所有していたものの、更新されずに失効したドメインを再取得する手口だ。運営者は取得したドメインでWebサイトを再構築し、その組織が現在も活動しているように装ってMicrosoft 365のアカウントを不正に取得していた。こうして手に入れたアカウントは、YAM Storeを通じて犯罪者に販売された。組織としての信用を装うWebサイトの構築まで、犯罪に使うアカウントの調達工程に組み込まれていたのである。

既存の組織向けクラウド環境を乗っ取る手口も確認された。この場合、攻撃者は盗み出したアプリケーションの認証情報を使って管理機能にアクセスし、アカウントやライセンスを操作していた。個々の利用者のログイン状態に依存せず、アプリケーション単位の認証を通じてアクセスを維持できるため、利用者のアカウントだけを監視していても、不正アクセスの全体像を把握するのは難しい。

さらに、SharePointやOneDriveの保存領域を大量のコンテンツの保管場所として悪用し、その保存領域自体を転売していた。つまり、YAM Storeではアカウントやライセンスだけでなく、詐欺サイトの運営に利用できるクラウドストレージも商品として扱われていたことになる。企業や金融機関を装った偽サイトの背後には、こうして正規のクラウドサービスから不正に調達された資源が存在する。詐欺サイトそのものを調べるだけでは、攻撃者が必要なインフラをどのように入手したのかまでは分からない。

AD

偽サイトは被害者の入力に合わせて動く

CoGUIは日本や米国を主な標的として広がっていたが、2026年半ばにはIron Manへの移行が進み始めたという。犯罪者にとっては、国や企業のブランドに合わせた偽サイトを簡単に展開できるサービスが、次々と登場していることになる。調査に協力したセキュリティ企業Resecurityは、Iron Manのライセンスを実際に購入し、隔離環境でその動作を検証した。同社が2026年10月1日時点のカタログで確認した内容によると、130の国・地域を対象とした2,360件のフィッシング用テンプレートが用意されていた。配送業者や銀行の画面に加え、税金や交通違反の支払いを装うものも含まれていたが、これはあくまで偽装用テンプレートの一覧であり、名前を使われた組織が実際に侵入されたことを示すものではない。

これらの偽サイトには、セキュリティ調査を妨げる機能も組み込まれていた。Microsoftは、接続元の国やIPアドレスによるアクセス制御や、人間による操作を求める偽のCAPTCHAなどを確認している。標的となる利用者にだけ詐欺画面を表示する一方、セキュリティ研究者や自動巡回システムからのアクセスを避ける仕組みだ。

また、Iron Manなどのフィッシングキットは、単に正規サイトに似せた画面を表示するだけではない。被害者が入力した情報はWebSocketを通じて収集され、Telegram経由で攻撃者に通知される。攻撃者は被害者の入力状況をリアルタイムで監視し、次に表示する画面を手動で切り替えられる。相手の操作に応じて必要な情報を引き出す、対話型の詐欺ツールとして機能している。

Microsoftは、これらのキットに関連する後続の攻撃の一部で、正規のデバイスコード認証を悪用する手口も観測した。攻撃者は被害者を誘導して正規アプリの認証操作を行わせ、その結果としてアクセス用の認証トークンを取得する。この場合、利用者が目にするのは必ずしも偽のログイン画面ではないため、画面の見た目だけで詐欺を判断することは難しい。正規の認証画面であっても、誰から、どのような目的で認証操作を求められたのかを確認する必要がある。

犯罪サービスを支える三つの仕組み

Iron Manは購入者が自分の環境に設置して利用する製品だが、販売者のインフラから完全に独立して動作するわけではなかった。Resecurityは隔離環境での通信内容と公開ビルドの設定を照合し、管理画面の動作には販売者が運営するライセンスサーバーへの継続的な接続が必要だと確認した。この仕組みを踏まえると、今回明らかになった犯罪サービスの供給網は、アカウントの調達、偽サイトの作成、継続利用の認証という三つの機能に整理できる。

供給する機能 確認された提供主体・仕組み 遮断で狙える部分と限界
アカウントの調達 YAM Storeが不正なクラウド環境やライセンス、保存領域を販売 アカウントの無効化などで購入者が利用できる資源を減らせるが、別の調達先への移行は防ぎきれない
偽サイトの作成 CoGUIとIron Manが、国やブランド別の既製テンプレートを提供 サイトや配布基盤への対処で展開を妨げられるが、別ドメインでの再構築を継続して追う必要がある
継続利用の認証 Iron Manの設置済みキットが販売者側の認証基盤に依存 共通の認証先を停止できれば複数の設置先に影響する可能性があるが、今回その認証先が停止したかは確認されていない

この表は、MicrosoftとResecurityが10月14日に公表した調査結果を、犯罪者が必要とする機能ごとに整理したものだ。一つの事業者が複数の機能を担う場合もあるため、犯罪組織が三つに分かれているという意味ではない。アカウントの調達・販売経路についてはMicrosoftの技術報告、ライセンス認証への依存についてはResecurityの報告第4節で確認できる。

Resecurityの検証では、Iron Manの管理画面がローカルのライセンス状態を約20秒ごとに確認し、その処理に伴って販売者側のサーバーへの照会が発生していた。この仕組みにより、販売者は継続課金や利用許可を管理できるが、同時に共通の認証基盤が攻撃や遮断の対象となる可能性も生じる。仮にその認証サーバーを停止できれば、購入者がそれぞれ異なる環境に設置した複数のフィッシングキットにも影響を及ぼせる可能性がある。犯罪サービスを継続的な商売として成り立たせる仕組みが、供給網をまとめて遮断する際の弱点にもなり得るわけだ。ただし、Resecurityの検証は隔離環境で実施されたものであり、実際の購入者の稼働環境や被害者のシステムを調べたものではない。中央の認証基盤を停止することの潜在的な有効性は確認できても、今回の措置によってすべてのIron Manが利用不能になったと判断できるわけではない。

AD

遮断の効果を左右するのは、犯罪基盤の再建をどこまで遅らせられるか

セキュリティ企業Proofpointは、CoGUIと関連する二つのフィッシングキットについて、追跡開始以降に使われた約1万7,000の異なるドメインを報告している。同社によると、犯罪者は頻繁にドメインを変更しており、個々の偽サイトを遮断しても、ツールやインフラの調達先が残っていれば新たなサイトを立ち上げられる。こうした実態が、個別の詐欺サイトだけでなく、それらを支える供給網全体への対処を必要としている。

利用者側では、配送や銀行口座の確認を急がせるメッセージを受け取っても、記載されたリンクから操作を進めず、普段利用している公式アプリなど別の経路で内容を確認することが重要だ。組織側では、特権アカウントの管理に加え、アプリケーションに付与された権限やクラウドストレージの不正利用にも注意を払う必要がある。Microsoftも、パスキーやフィッシング耐性のある多要素認証の導入、管理者権限の最小化といった対策を推奨している。

今回の2万以上のアカウント無効化とドメインへの措置は、犯罪者が商品として販売していた資源そのものに対処した点で重要だ。ただし、その効果を判断するには、販売者が新たなアカウントを調達し、偽サイトを再配置し、認証基盤を移行するまでの動きを継続して追う必要がある。供給網の再建を長期間妨げることができれば、同じツールを購入して新たな詐欺を始めようとする犯罪者にも、調達にかかる時間と費用の増加を強いることができる。今回の措置が一時的な混乱にとどまるのか、犯罪サービスの運営そのものに持続的な打撃を与えられるのかは、今後の再建状況によって明らかになるだろう。