マイクロソフトとHealth-ISAC、フィッシング犯罪を支える3サービスの基盤を無力化　警察庁も調査に協力

Microsoftと医療分野の脅威情報共有団体Health-ISACは2026年10月14日、フィッシング犯罪を支えるYAM Store、CoGUI、Iron Manの運営基盤に対する措置を発表した。米国の裁判所命令に基づいて関連ドメインを差し押さえ、接続先を変更した。日本の警察庁が提供した脅威情報が調査の端緒となった。

■日本を狙う詐欺の調査から世界的な供給網へ

Microsoftによると、調査は2025年後半、警察庁から日本の人々を狙う悪性メッセージの情報を受けて始まった。対象は中国語で運営される犯罪サービスの供給網へと広がり、警察庁は調査を通じて情報提供や捜査面で協力した。

一般財団法人日本サイバー犯罪対策センター（JC3）は、警察庁や会員企業と連携し、日本での被害実態や具体的な情報をMicrosoftに提供した。Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsも脅威情報や調査面で協力した。

Microsoftによると、3サービスは2026年1月以降、世界の7万5000超の組織を標的とする10億通超の悪性メッセージの送信に関与した。このうち7億5000万通超はMicrosoftの顧客を狙ったもので、標的は日本を含む150カ国以上に及んだ。

■ドメインの差し押さえとアカウントの無効化

MicrosoftとHealth-ISACは、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、3サービスを支えるドメインを差し押さえ、接続先を変更した。MicrosoftはYAM Storeに関連する2万件超のアカウントを無効化したとしている。

同社は自社サービス上の関連インフラを削除し、なりすましや詐欺に使われた10万件超のドメインの遮断も進めている。これらは犯罪者がアカウントや偽サイト用の道具を調達する経路を妨げる措置だ。

■アカウントと偽サイトを供給する仕組み

YAM Storeは、不正に取得されたMicrosoftやGoogleのアカウントなどを販売していた。購入者はこうした資源を、CoGUIなどのフィッシングキットと組み合わせて利用できた。既製のアカウントと偽サイト用の道具を別々に調達できることが、この供給網の特徴だった。

CoGUIは企業や金融機関などを装うページのテンプレートを提供し、特に日本と米国を狙う活動で使われた。Microsoftによると、2026年半ばには、この供給網の一部で新しいキットのIron Manが使われ始めた。

Proofpointが追跡したCoGUI、CoAceV、CoFish_Wsの3種類のキットでは、計66ブランドへのなりすましが確認され、その大半は日本のブランドだった。同社は3種類に共通する特徴や、利用者の重なりも確認している。

Iron Manは、購入者が自らの環境に導入する形式で販売されていた。Resecurityは隔離した環境で製品を調べ、管理画面の利用には販売者側のライセンス認証基盤への定期的な接続が必要だと確認した。Microsoftは、Iron Manで銀行や小売業者、政府機関などを装う2300種類超のテンプレートを特定したとしている。

元記事: Microsoft, Japan Took Down a Notorious Cybercrime Phishing Network Responsible For Global Scams