「Yam Store」は、犯罪者が組織になりすまして認証情報を盗むためのキットを販売し、世界で7万5000以上の組織を標的にしていました。AIを活用した分析が、この犯罪活動を支えるインフラの特定に役立ちました。
Microsoftは、10億通の悪意あるメッセージの発信源となっていた犯罪マーケットプレイスを解体したと発表しました。
Microsoftは、各国の捜査当局やテクノロジー・サイバーセキュリティ企業数社と協力し、1年近くに及ぶ調査の末、商用のフィッシング・アズ・ア・サービス（PhaaS）を扱う地下ネットワーク「Yam Store」を特定し、摘発しました。
このネットワークでは、サイバー犯罪者が、データや認証情報を盗むフィッシング攻撃に使える既製のキットを簡単に購入し、すぐに展開できました。
Microsoftによると、今回の摘発は、日本の捜査当局からの情報提供をきっかけとした単純な調査から始まりました。
MicrosoftのDigital Crimes Unitでアソシエイト・ジェネラル・カウンセル兼ゼネラルマネージャーを務めるSteven Masada氏は、ブログ記事で次のように述べています。「関係機関と協力し、AIツールの支援も受けながら、当初は無関係に見えたアカウント、Webサイト、インフラを結び付けることで、その背後にあるより大きな犯罪マーケットプレイスを明らかにできました。単なる詐欺メッセージに見えるものは、多くの場合、はるかに大規模な国境を越えたサイバー犯罪活動の、目に見える末端にすぎません」
進化するPhaaSマーケットプレイス
YAM Storeと、そこで販売されていたキットやツールは、全体として世界中の7万5000以上の組織に10億通を超えるメッセージを送信することを可能にしました。そのうち7億5000万通以上はMicrosoftの顧客だけに送られており、最終的に犯罪運営者に「数千万ドル」の収益をもたらしたとされています。
このマーケットプレイスの調査は2025年後半、日本の警察庁（NPA）が、日本の個人や企業を狙った「一連の詐欺・スキャム活動」についてMicrosoftに通報したことから始まりました。研究者らは複数の個別キャンペーンが見つかると予想していましたが、実際に発見したのは「広大な中国語圏のサイバー犯罪マーケットプレイス」でした。調査は世界規模に拡大し、複数の法執行機関のほか、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsなどの企業も協力しました。
YAM Storeは初期アクセスブローカー（IAB）として機能し、オンラインマーケットプレイスとほぼ同じように運営されていました。扱われていたのは、不正なMicrosoftおよびGoogleのアカウントや、認証情報・データの窃取といった詐欺を実行するための既製ツールです。顧客は商品を閲覧し、価格を比較して購入できました。ツールは、経過期間やサブスクリプションの種類、環境の種類（.eduや.orgのサイトなど）に基づいて分類されていました。
犯罪運営者は、正規の組織が失効させたインターネットドメインを登録し、稼働中のサイトに見えるよう再構築することもありました。非営利団体や教育機関など特定の分野を狙ってMicrosoft 365アカウントを不正に入手し、後からYAM Storeで販売していました。
研究者らは、さまざまなキットが登場するにつれてYAM Storeが進化してきたことを突き止め、人気の高い3つのPhaaSキット「Iron Man System」「CoGUI」「Haozi」を特定しました。
より新しい「Iron Man」システムは、2026年半ばに台頭しました。被害者が入力したデータをすべて取得する、構築済みのおとりページを提供していました。おとりサイトは、医療機関、警察、政府機関、郵便・宅配サービス、有料道路・交通機関、税務当局、銀行、通信事業者、小売業者などになりすましていました。調査当局は、テスト購入と情報収集を通じて、150か国以上の組織になりすました2300件以上のテンプレートを確認しました。
Iron Manは、特定の業種、言語、地域に合わせた数千もの既製テンプレートを犯罪者に提供することで、PhaaSモデルを事実上拡大させました。Masada氏は、その多くが「公的機関であるかのような見た目で被害者に圧力をかけ、支払いや機微な個人情報の開示に誘導していた」と指摘します。「犯罪者は自ら不正なWebサイトを作成しなくても、パスワードや支払い情報、その他の個人データを盗むために設計されたページをすぐに展開できました」
キットには、ジオフェンシング、偽のCAPTCHAゲート、IPアドレスのブロックリスト・許可リスト、検知回避の設定といった高度な回避技術も備わっていました。
Masada氏は、テンプレートの提供対象に組織や政府機関が含まれていたとしても、それらのシステムが侵害されたことを意味するものではないと強調しました。
一方、Microsoft Threat IntelligenceとMicrosoft Digital Crimes Unitのメンバーはブログ記事で、次のように指摘しています。「このエコシステムの規模と拡散ぶりは、容易に入手できる犯罪インフラが参入障壁をいかに下げるかを示しています。スキルの低いサイバー犯罪者でも大規模に組織を狙えるようになり、詐欺被害の拡大につながっています」
サイバーハイジーンの重要性
Microsoftの研究者らによると、観測されたほぼすべてのケースで、フィッシングのおとりは「典型的な詐欺の警告サイン」、つまり緊急性や期限のあるタスクを示していました。
研究者らは、ユーザーが一般的なフィッシング手口の基本を理解し、ログインページに誘導するとされるリンクをクリックする前には、たとえ既知の安全なアカウントへのサインインに関わる場合でも、送信者とされる相手に必ず確認するよう教育すべきだと助言しています。
これに加え、サインインの画面では、認証先のアプリケーションを明確に示すべきだとしています。たとえばMicrosoft Azureでは、2021年以降、ログイン時に「キャンセル」または「続行」を求める表示が出ますが、フィッシングのサインイン画面ではこれが欠けていることが多いと研究者らは指摘しました。
フィッシング攻撃を防ぐには、認証情報とクラウドIDの強化も必要です。研究者らは、最初のステップとして、組織全体でパスキーなどのパスワードレスツールと多要素認証（MFA）を導入することを提案しています。
研究者らは「最小権限とゼロトラストの原則を適用すれば、初期アクセスを得た攻撃者の動きを大幅に遅らせ、防御側が対応する時間を稼ぐことができます」と述べています。こうした対策は、特にグローバル管理者ロールの保護に役立ちます。
このほか、パスキーとMFAにMicrosoft Authenticatorアプリを使うこと、Microsoft Defender for Office 365のセーフリンクポリシーを内部の受信者にも適用するよう設定すること、MFAを条件付きアクセスポリシーで補完すること、MFAとパスキーの登録を信頼できる場所とデバイスからのみ許可することなどの対策も推奨しています。
