Microsoft、10億通超のフィッシングを支えた「YAM Store」などの犯罪基盤を妨害

Microsoftは2026年10月14日、フィッシングに使われるアカウントや偽サイトの作成ツールを販売していた「YAM Store」などの犯罪基盤を妨害したと発表した。同社によると、この供給網を通じて同年1月以降、世界の7万5000超の組織を標的に10億通超の悪意あるメールやSMSが送られた。

調査の端緒は、日本の利用者を狙う不審なメッセージについて、警察庁が2025年後半にMicrosoftへ提供した情報だった。警察庁と日本サイバー犯罪対策センター（JC3）は調査に協力し、Microsoftと医療分野の情報共有団体Health-ISACは米国の裁判所命令に基づいて関連ドメインを差し押さえ、接続先を変更した。

■犯罪者に基盤を売る「YAM Store」

Microsoftが「Storm-3119」として追跡するYAM Storeは、不正に取得したクラウド環境を犯罪者へ売る仲介役だった。購入者は、アカウント、ライセンス、ストレージなどを、フィッシングサイトの運用やメッセージ配信に利用できた。

Microsoftの調査によると、運営者はMicrosoft 365や教育機関向けAzureの環境を乗っ取り、利用していた。また、更新されず失効した組織のドメインを取得し、ウェブサイトを作り直して活動中の組織に見せかけ、Microsoft 365のアカウントを不正に得る手口も使った。販売対象にはGoogleのクラウド環境に関連するアカウントやドメインも含まれていた。

Microsoftは、運営者が新たな架空組織を作った事例も確認した。非営利団体「Jewish Choice」を装った事例では、AIで生成したとみられる内容や偽造書類を用意し、関連ドメインとともに組織の実在を装ったと同社は分析している。

こうして得た環境は、組織やサービスの名称を使った詐欺に利用された。正規の組織が以前使っていたドメインや、侵害されたクラウド環境が供給網に入り込む点に、この手口の特徴がある。

■調達から再販まで、五つの段階

Microsoftは、YAM Storeが環境を取得して商品化するまでの流れを五つの段階に整理した。まず、Pythonのウェブ開発基盤Flaskで作った自動ツールをTor経由で動かし、Microsoft 365の組織環境やライセンス情報などを調べていたという。

次に、侵害した環境をPHP、Java/Spring、Cloudflare Workersで作られた管理パネルから操作した。盗んだアプリケーションの認証情報を使い、パスワードの変更、教育機関向けライセンスの割り当て、権限の付与を行っていた。利用者のログイン操作を伴わないアプリケーション単位の認証も使われていたため、調査ではアプリケーションの権限設定が重要になる。

運営者は特権アカウントで侵害先に入り、SharePointの管理に使われる「PnP Management Shell」のサービスプリンシパルを登録した。Microsoftによると、そこに広いMicrosoft Graph権限を与え、SharePointとOneDriveのストレージを販売可能なホスティング資源に転用した。

その後、独自のDNS管理基盤でフィッシング用ドメインや証明書を管理し、自動販売サイトでアカウントやストレージを再販した。支払いにはAlipay、WeChat Pay、TRC20ネットワーク上のUSDTを受け付け、再販業者向けの仕組みも設けていた。

■CoGUI、Haozi、Iron Manの役割

YAM Storeでは、フィッシング用の偽ページや運用機能をまとめたキット「CoGUI」「Haozi」「Iron Man System」も扱われた。Microsoftは三つのキットに関わる活動を「Storm-2990」として追跡し、開発者は中国語を話す攻撃者だと高い確度で評価している。名称やTelegram上の販売窓口は異なるが、機能や基盤には重なりがあるという。

CoGUIは少なくとも2024年10月から観測され、日本を主な標的としてきた。Proofpointによると、2025年1月にはCoGUIを使った攻撃で1億7200万通超のメッセージが観測された。Amazon、PayPay、楽天、金融機関などを装い、ログイン情報や決済情報を入力させる手口が確認されている。

2026年6月にはIron Man SystemがYAM Storeの商品に加わった。Microsoftによると、同年10月の発表時点で139を超える国・地域向けに2335種類超の偽ページのテンプレートを備えていた。米国向けでは通行料や駐車違反の支払いを求めるものなど、交通機関や政府機関を装う例が多かった。

共同調査に参加したResecurityは、購入したIron Manのライセンスを隔離環境で調べ、130の国・地域を対象とする2360種類のテンプレートを確認した。最新の追加日は2026年10月1日だったという。両社の数値は、それぞれが確認したテンプレートの集計として示されている。

■偽ページの検知回避と情報の窃取

Microsoftによると、これらのキットには、指定した国からのアクセスだけに偽ページを表示する地域制限、調査用の自動アクセスを妨げる偽のCAPTCHA、IPアドレスによるアクセス制御などが、程度の差はあるものの備わっていた。偽ページへ誘導された利用者が入力した情報は、キットの運営者に渡る。

Iron Manでは、入力されたログイン情報やカード情報をWebSocketで収集し、Telegramへの通知を通じて攻撃者が入力状況を追える仕組みをMicrosoftが確認した。攻撃者は利用者の操作に合わせ、次に表示する内容を変更できる。パスワードに続いて確認コードを入力させるような、対話的な詐欺にも使える構造だ。

Iron Manの管理パネルには、Go言語の開発基盤GoFrameが使われ、主に中国のホスティング事業者上で稼働していた。Resecurityの検証では、キットは販売元の認可サーバーと定期的に通信しており、同社はこのサーバーへの措置が複数の購入者による運用に影響し得ると分析している。

Microsoftは、キットを購入した攻撃者による偽ログインページでの認証情報窃取、デバイスコードを使う認証の悪用、盗んだ決済情報による不正購入なども確認した。デバイスコードを使う手口では、利用者を正規の認証画面へ誘導してコードを入力させ、攻撃者がアカウントへのアクセスに使えるトークンを得る。

■日本から始まった調査と今回の措置

Microsoftによると、今回の供給網を通じたメッセージは150カ国以上の利用者や組織を標的にし、運営者は数千万ドル規模の収入を得ていた。日本での調査では、JC3が130を超える会員組織から得た情報を活用し、企業や金融機関、その顧客を狙う事案の関連を調べた。

米フロリダ州南部地区連邦地方裁判所の命令に基づき、MicrosoftとHealth-ISACはYAM Store、CoGUI、Iron Manを支えるドメインを差し押さえ、接続先を変更した。MicrosoftはYAM Storeに関連する2万件超のアカウントを無効化し、自社サービス上の関連基盤を削除するとともに、なりすましや詐欺に使われた10万件超のドメインをブロックしている。

調査には警察庁、JC3のほか、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsが協力した。Proofpointは今回の措置について、CoGUIなどの運用に大きな支障を与える可能性があると評価している。

中国語圏のフィッシングサービスについては、Google Threat Intelligence Groupも2026年5月に12のサービスを分析し、キット開発や基盤の提供が分業化していると報告した。Microsoftが2026年4～6月に検知したメール経由のフィッシング脅威は約76億件に上る。今回の措置は、そうした脅威の中でYAM Storeと関連キットを支える供給網を対象にしたものだ。

■利用者と組織が確認したい対策

Microsoftは、料金の未払いやアカウントの再認証を急がせるメッセージを受け取った場合、記載されたリンクから手続きせず、送信元とされる組織の公式窓口で確認するよう勧めている。正規のブランド名や画面に見えても、入力を急がせる内容には注意が必要だ。

組織向けには、パスキーを含む認証手段と多要素認証の導入、条件付きアクセスの設定、管理者権限を持つアカウントの制限を推奨している。侵害された認証情報だけでなく、アプリケーションに付与された権限や不審なサインインも調べることが重要になる。

メール対策では、Microsoft Defender for Office 365のSafe Linksを組織内の受信者にも適用し、推奨されるフィッシング対策設定を確認するよう求めている。端末のネットワーク保護を有効にして、悪意あるドメインへの接続を防ぐことも挙げている。

元記事: Microsoft Shuts Down Chinese Phishing Empire Behind Billion Messages to 75,000 Organizations