Microsoft、10億件のメッセージを送信したフィッシングネットワークを壊滅　7万5,000組織が標的に

Microsoftは、2026年1月以降、世界中の消費者と7万5,000を超える組織に向けて10億件以上の悪意あるメッセージを送信していたサイバー犯罪ネットワークを摘発し、活動を阻止しました。

Microsoftは 10月14日の発表で、Health-ISACと連携し、相互に関連する3つの犯罪サービス「YAM Store」「CoGUI」「Iron Man」を支えていたドメインを差し押さえ、転送先を変更したと明らかにしました。これらのサービスにより、犯罪者は信頼された組織になりすまし、認証情報を盗み、150を超える国と地域でフィッシングキャンペーンを展開できる状態にありました。

Microsoftの顧客だけでも、7億5,000万件を超えるメッセージが標的にされました。今回の摘発は、商用化されたフィッシング基盤によって、犯罪者が大規模な攻撃を仕掛けられる実態を浮き彫りにしています。個々のキャンペーンを阻止しても、企業には継続的なリスクが残ります。

世界規模のフィッシング活動を支えるドメインをMicrosoftが差し押さえ

Microsoftと日本の警察庁は、日本国内の消費者や企業を狙った不正メッセージキャンペーンの急増を調査しました。その結果、はるかに大規模な国際的サイバー犯罪のエコシステムが明らかになりました。

調査の過程で、犯罪者が侵害されたアカウントやクラウドインフラを購入できる中国語のマーケットプレイスや、すぐに使える偽サイトやなりすましテンプレートを提供するフィッシングサービスが見つかりました。

Microsoft Threat Intelligenceによると、このエコシステムには、相互に関連する次のサービスが含まれていました。

• YAM Store：侵害された、あるいは不正に取得されたMicrosoftおよびGoogleのクラウド環境へのアクセスを販売する闇マーケットです。Microsoft 365のアカウント、ライセンス、フィッシングキャンペーンに使われるストレージなどを扱っていました。
• CoGUI：正規組織になりすました偽サイトやメッセージを提供するフィッシングキットです。
• Iron Man：銀行、小売業者、政府機関などの信頼された組織になりすますために設計された、数千のテンプレートを提供するフィッシングサービスです。

MicrosoftはYAM Storeを「Storm-3119」として追跡しています。また、CoGUI、Haozi、Iron Manに関連する活動クラスターは「Storm-2990」として別途追跡しています。HaoziはYAM Storeを通じて販売されていた別のフィッシングキットですが、10月14日の摘発発表ではYAM Store、CoGUI、Iron Manが対象となりました。

Microsoftによると、3つのフィッシングキットには類似点が多く、開発元が共通しているか、コードを流用しているか、開発者同士が緊密に連携している可能性があります。

調査では、Iron Manのフィッシングテンプレートが2,300点以上確認されました。これらは150を超える国と地域で、銀行、小売業者、医療機関、政府機関などになりすますものでした。

攻撃の標的は、医療、金融サービス、情報技術などの業界に及びました。ただし、フィッシングテンプレートでなりすまされた組織が、必ずしもシステムを侵害されたわけではありません。

MicrosoftとHealth-ISACは、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、YAM Store、CoGUI、Iron Manを支えるインフラに関連するドメインを差し押さえ、転送先を変更しました。

Microsoftによると、10月14日の時点で、YAM Storeに関連する2万を超えるアカウントを無効化しました。さらに、自社サービスからのインフラ排除を続けるとともに、なりすましや詐欺に使われていた10万を超えるドメインをブロックしています。

今回の作戦が狙ったのは、個々の詐欺キャンペーンではなく、フィッシング基盤の提供者です。Microsoftはネットワークの重要な構成要素を壊滅させましたが、より広範なフィッシングのエコシステムが消えたわけではありません。

フィッシング摘発が企業のセキュリティチームに意味すること

今回の規模は、フィッシングが商用サービスへと進化した実態を示しています。攻撃者は自前でツールを開発しなくても、インフラを購入できるようになりました。

YAM StoreはMicrosoftとGoogleの環境へのアクセスを提供しており、これにより悪意ある活動がより信頼できるものに見えていた可能性があります。アカウントの中には、失効した組織ドメインに関連するものもあれば、クラウドサービスを入手するために作られた架空の事業体が関わるものもありました。

悪意あるメッセージが一見正規のインフラから送信されるため、こうした手口は検知を難しくします。問題は従来のメールフィッシングにとどまりません。Microsoftの調査では、メール、SMS、認証情報の窃取を伴う攻撃が確認されました。技術レポートでは、クラウド認証やインフラの悪用も検証しています。

eSecurityPlanetは以前、 Microsoft 365のパスキーを狙ったフィッシング攻撃が、企業のクラウドデータへの不正アクセスにつながり得ることを報じました。

ほかにも、 Googleのサービスを悪用してフィッシングのリダイレクトを隠蔽するキャンペーンが確認されています。また、eSecurityPlanetは 不正なMicrosoft 365へのログインが正規の活動に紛れ込むことで、侵害されたアカウントの検知が難しくなっていると伝えています。

これらは別々のインシデントですが、不審なドメインをブロックするだけでは不十分であることを示しています。

Microsoftの脅威インテリジェンスレポートは、ID保護の強化、メールセキュリティの改善、フィッシング手口に関するユーザー教育を推奨しています。企業のセキュリティチームにとって、今回の調査結果は次の3つの優先事項を示しています。

• IDセキュリティの強化：対応可能な環境では、フィッシングに耐性のある多要素認証を導入し、最小権限のアクセスを徹底します。機密性の高いアカウントは、条件付きアクセスポリシーで保護します。
• フィッシング検知の改善：Microsoft Defender for Office 365とExchange Online Protectionの設定を見直し、不審なメッセージを調査します。想定外の依頼は、信頼できる連絡手段で確認します。
• アカウント侵害への備え：通常と異なるサインインや認証の変更を監視し、侵害されたセッションを無効化します。不正なクラウド活動も調査します。

自社ブランドをなりすますフィッシングキャンペーンの監視も欠かせません。特に、犯罪者が偽のドメインやWebサイトを使って顧客を狙う場合は注意が必要です。

今回のMicrosoftの対応により、大規模な詐欺を支えるインフラが当面は阻止されました。しかし、より広範なフィッシングのエコシステムが消えたわけではなく、企業は他の犯罪サービスを通じた同様の攻撃にも備え続ける必要があります。

企業の防御担当者にとって、より大きな教訓は、フィッシングキャンペーンがアカウント、ホスティング、攻撃ツールを提供する相互依存的な供給者にますます依存していることです。こうした供給者を摘発すればサイバー犯罪のコストを引き上げられますが、信頼されたインフラが使われた場合でも悪意ある活動を検知できる多層防御は、依然として欠かせません。

サイバーセキュリティニュースをもっと：Microsoftによるサービス型フィッシング（PhaaS）の解体に向けた取り組みについては、同社が RaccoonO365フィッシングネットワークを壊滅させた記事もご覧ください。このネットワークは、世界規模の犯罪サービスを通じてMicrosoft 365の認証情報を狙っていました。