中国語圏のフィッシング・エコシステムが、過去9カ月だけで10億通を超えるメールとSMSを数万の組織に送りつけていたことがわかりました。
Microsoft Threat IntelligenceとMicrosoft Digital Crimes Unitは本日、フィッシング攻撃の実行に必要なツールやインフラを提供するサイバー犯罪エコシステムに関する調査結果を公表しました。調査対象は、フィッシングキットの開発者、フィッシング用インフラの販売業者、そしてこのうち3種類のキットの利用者です。
このインフラ側の中核にいるのが、Microsoftが「Storm-3119」として追跡しているサイバー犯罪マーケットプレイスのYam Storeです。Yam Storeは複数のフィッシングキットを販売していました。なかでも特異なのは、正規の組織、失効した組織、あるいは過去に使われていた組織に紐づくMicrosoftおよびGoogleのドメインを販売していた点です。これにより攻撃者は、被害者や自動化された防御システムから見てより信頼できそうに見えるフィッシング用インフラを運用できました。
フィッシングを軸としたサイバー犯罪エコシステムは、ここ数年で急速に勢いを増しています。キットやサービスが大量に出回ったことで、経験の浅い攻撃者でも、おとりのメッセージの作成、多数の標的への一斉送信、盗んだデータを悪用するためのインフラ維持ができるようになったためです。大規模言語モデル（LLM）の台頭がこの問題に拍車をかけました。攻撃者はAIを使って、もっともらしいフィッシングサイトを短時間で立ち上げたり、誤りのないメール文面を生成したりできるようになっています。
MicrosoftとセキュリティベンダーのResecurityは、Yam Storeを通じて流通する3種類のフィッシングキットを特定しました。CoGUI、Haozi（別名Phoenix）、そしてIron Man Systemです。Microsoftは、これらのキットの開発者と周辺の活動を「Storm-2990」として追跡しています。Microsoftは「2026年1月以降、これらのキットの背後にいる攻撃者は、世界中の7万5000を超える組織に対し、10億通を超えるフィッシングメールとSMSの送信を助長してきた」と述べています。
中国語圏のフィッシング・エコシステム
Microsoftは、Yam Storeを中国語圏のサイバー犯罪エコシステムの一部と位置づけ、フィッシングキットの開発者も中国語話者だと評価しています。一方で、インフラのブローカーとフィッシングキットの運用者は、別個ではあるものの密接につながったグループとして追跡しています。
調査によると、このインフラはフィッシングキットの運用者をはじめとする顧客に供給され、大規模なフィッシングキャンペーンを支える基盤として使われていました。CoGUI、Haozi、Iron Man Systemといったフィッシングキットも、同じ広範なエコシステムの中で販売されていました。
3種類のキットのうち、Microsoftはとくに Iron Man Systemに注目しています。研究者によると、Iron Man Systemには「オーストラリア、日本、インド、米国など139を超える国向けに調整された2,335以上のテンプレート」が含まれ、フィッシング用テンプレートの数は米国向けが最も多いといいます。おとりのメッセージは、地方自治体、法執行機関、医療、金融、交通、小売など、さまざまな信頼されたブランドや組織をかたります。
フィッシング攻撃によくあるように、最終的な狙いは、駐車違反の罰金支払いを装った偽の請求などを使って、標的から機密情報をだまし取ることです。
これらのキットには、回避技術も備わっています。ジオフェンシング、偽のCAPTCHAゲート、IPアドレスのブロックリスト／許可リスト、セキュリティ研究者の目を逃れる検知回避設定、Telegramボットの設定などです。Telegramは、攻撃キャンペーンの調整に使われる攻撃者に人気のツールです。Microsoftによると、キットの顧客はTelegramボットを設定することで、フィッシングの標的が認証情報や確認コードを入力するなどの操作をした際に、自動で通知を受け取れます。
Yam Storeで売られるクラウドドメイン
Microsoftによると、Yam Storeはイニシャルアクセスブローカーとして機能していました。フィッシングツールだけでなく、侵害された、あるいは不正に取得されたMicrosoftおよびGoogleのクラウド環境上に構築したインフラも販売していたということです。
「Yam Storeのマーケットプレイスは、正規の組織、失効した組織、あるいは過去に使われていた組織番号に紐づく、不正に取得されたMicrosoftおよびGoogleのドメインをサイバー犯罪者が購入できるプラットフォームを提供している。これにより攻撃者は、一見正規に見えるインフラを使い、比較的低コストでワークスペースを入手できる」と、ブログ記事には記されています。「Storm-3119は自動化を使って失効した環境名や組織名を特定し、それらに紐づく正規の顧客情報を悪用して、既存の検知を回避しやすくしている」
Corsica TechnologiesのCISO、Ross Filipek氏はDark Readingの取材に対し、日々の防御担当者の視点から見て、信頼されたクラウドサービスの悪用が今回の調査で最も重大な点だと語りました。
「従業員は、リンクの遷移先を確認するよう教えられてきました。しかしデバイスコードフィッシングは、本物のサインインページへ誘導することで、その手順を無効にしてしまいます」と同氏は述べます。「トレーニングでは、本人がそのリクエストを開始したかどうかを意識させる必要があります。対応担当者も、パスワードをリセットすれば終わりだと考えず、付与されたアクセス権を調査しなければなりません」
AttackIQのAdversary Research Team、エンジニアリングマネージャーのAndrew Costis氏も、クラウドインフラの悪用にとくに注意を払うべきだと指摘します。「なかでも、侵害された環境を管理するために使われる、アプリケーション単独のアクセスが問題です」
「アプリケーションは独自のIDと権限を持つことができ、クライアントシークレットを使って認証されます」とCostis氏は説明します。「ユーザーのパスワードをリセットしても、その別個のアクセスが除去されたかどうかはわかりません」
Yam Storeが可能にする攻撃への防御
Microsoftの取り組みは、フィッシングのエコシステムを特定するだけにとどまりませんでした。同社の広報担当者はDark Readingに対し、Yam Storeに関連する2万を超えるテナントを無効化したと明かしています。これらのテナントは14万を超える悪意あるドメインを支えていたといい、あわせて「不正なアカウントをより適切に検知、防止、無効化する」ための保護対策も強化したということです。
「あらゆる摘発と同様に、調査で得た知見は、製品や検知の継続的な改善に生かしている」と、Microsoftの広報担当者は述べます。「今回の場合は、不正に取得されたインフラを特定し、そのインフラ上で行われるフィッシング活動を検知する能力を高めたということだ」
ブログ記事で、Microsoftは自社製品向けの検知情報と侵害指標（IoC）を掲載するとともに、組織向けに意識向上を中心とした提言も複数示しました。具体的には、セキュリティチームがユーザーに対し、一般的なフィッシング手法のほか、ソーシャルメディア上での個人情報や業務データの守り方、不審な連絡のフィルタリング方法、不審な活動の報告方法を教育すべきだとしています。
「Microsoftが確認したほぼすべてのケースで、Storm-2990の運用者が使ったフィッシングのおとりは、緊急性や期限のある作業（公式ブランドを装ったリンクのクリックなど）といった、詐欺の典型的な危険信号に沿っていた」とMicrosoftは述べています。「ユーザーは、メッセージやメールの送信者を名乗る相手に確認するべきだ。これは、リンクで提示されたものではない既知の安全なアカウントへのサインインが作業内容である場合や、名乗られた組織・企業に直接電話する場合でも同様だ」
