150か国・7万5,000以上の組織を標的に10億件超の悪意あるメッセージをばらまいていた巨大なサイバー犯罪エコシステムが、世界各国の法執行機関とパートナー企業によって封じ込められました。
今年に入ってからだけでも、7億5,000万件を超える悪意あるメッセージが、メールやSMSを通じてMicrosoftの顧客に向けて送られていました。
MicrosoftとNational Police Agency（NPA、日本の警察庁）は、不正行為の急増を受けて調査を開始しました。その過程で、フィッシングキャンペーン用のツールやサービスを扱う「中国語圏の巨大なサイバー犯罪マーケットプレイス」が見つかりました。
調査チームは悪意ある活動をたどり、地下のインフラ取引市場「YAM Store（Storm-3119）」を特定しました。さらに、このマーケットプレイスが、CoGUI、Haozi、Iron Man Systemという3種類のフィッシングキットと関連していることを突き止めました。これらのキットは、まとめてStorm-2990として追跡されています。
ツールの概要
Microsoftは本日公開したレポートで、YAM Storeが、侵害または不正に取得したMicrosoftやGoogleの環境、アカウント、ライセンス、ストレージを販売していたと説明しています。
運営者らは、実在する組織の失効ドメインを取得し、すでに活動を停止した組織のWebサイトを再構築して、あたかも活動中であるかのように見せかけていました。そのうえで、こうした偽装した身元を使ってクラウドアカウントを取得していました。
別の手口として、AIツールを使い、コンテンツや書類まで備えた架空の組織を作り出す方法も確認されています。
侵害したMicrosoft環境では、運営者らは盗んだアプリケーションの認証情報を使ってアカウントやライセンスを管理していました。さらに、ホスティングにはSharePointとOneDriveのストレージを悪用していました。
フィッシングキットは、通行料金の未払い、交通違反の罰金、配送トラブル、アカウント確認の依頼など、幅広い誘い文句をサイバー犯罪者に提供していました。
キットはジオフェンシング、偽のCAPTCHAゲート、IPフィルタリングなどにも対応しており、セキュリティ分析を妨害する仕組みを備えていました。
Microsoftによると、CoGUIは米国と日本の被害者を狙っていました。しかし、銀行、小売業者、配送サービス、政府機関をかたる2,300以上のテンプレートを提供するIron Manが、2026年半ばまでにCoGUIに取って代わりました。
サイバーセキュリティ企業のResecurityも調査に参加しました。同社は、公開状態になっていたGit／コンテナレジストリ（911件の公開ビルドと8件の登録アカウントを含む）など、露出したインフラを分析したうえで、Iron Manに関する詳細を共有しました。
研究者らはまた、決済カード情報の窃取に関連する製品選択サブシステムも特定しました。これは130の国・地域を対象とした2,360種類のフィッシングパッケージを一覧にしたもので、2026年10月1日まで更新が続いていました。
Microsoftによると、これらのフィッシングプラットフォームはMicrosoft 365の顧客を狙ったメッセージを7億5,000万件以上配信しており、その多くがデバイスコードフィッシングで認証トークンを入手しようとしていました。
2024年後半には、企業向けセキュリティ企業のProofpointが、CoGUIフィッシングキットに関連するメールキャンペーンが「一貫して日本を標的にしている」ことを確認していました。この活動は、日本の有名企業や国際機関をかたり、認証情報や決済データを盗むことに重点を置いていました。
フィッシング活動をさらに調べたところ、CoGUI、CoAceV、CoFish_Wsとして知られる3つのキットが、1万7,000以上のドメインを使用していたことも判明しました。
研究者らはこの活動を「動的」であり、「フィッシングインフラを大規模に購入・管理する」だけの十分な資金力と資源を備えていると評しています。
活動の遮断
MicrosoftとHealth-ISACは、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、YAM Store、CoGUI、Iron Manを支えていたドメインを差し押さえ、転送先を変更しました。
Microsoftはさらに、YAM Storeに関連する2万以上のアカウントを無効化し、サイバー犯罪者がなりすましや詐欺に使っていた10万のドメインをブロックしました。
現在も、調査結果に基づいてインフラの削除が進められています。調査には日本の当局、JC3、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsも参加しています。
