マイクロソック、10億件のフィッシングメッセージを送信した世界的な「Yam Store」ネットワークを摘発

Microsoftは業界パートナーや法執行機関と協力し、1月以降、世界中の数万の組織を標的にしてきた大規模なフィッシング基盤ネットワークの摘発に踏み切りました。

Microsoftは10月14日に公開したレポートで、日本の警察との連携により、中国語圏のフィッシング・アズ・ア・サービス（PhaaS）キットの運営者や開発者、さらにツールやインフラを販売するマーケットプレイスからなるネットワークを解明した経緯を詳しく説明しています。

同社は「攻撃者はこれらのツールやインフラを購入して利用していました。フィッシングキットのほか、侵害または不正に取得されたMicrosoftやGoogleのクラウド環境へのアクセスと関連する認証情報も含まれます。標的となったのは、日本、米国、オーストラリア、インドの医療、金融サービス、卸売、ITの各業界の組織です」と説明しました。

同社によると、これらのフィッシングキットだけで、2026年1月以降、7万5,000を超える組織に対して10億通以上のフィッシングメールやテキストメッセージが送信されたとのことです。

世界的なフィッシング基盤に関する関連記事：Tycoon2FAフィッシングサービスを無力化した世界規模の摘発

このネットワークの中心にあるのが、Microsoftが「Storm-3119」として追跡している地下マーケットプレイス「Yam Store」です。

Yam Storeは、不正に取得または侵害したMicrosoftおよびGoogleのドメインを販売しているほか、CoGUI（別名NXまたはFA）、Haozi（別名Phoenix）、Iron Man Systemの3種類のフィッシングキットも提供しています。この3つのキットは「Storm-2990」としてまとめて分類されています。

フィッシング基盤の面では、Yam Storeの運営者は、正規の組織が更新せず失効させたインターネットドメインに目を付けました。

「その後、ウェブサイトを再構築して、これらの組織が活動中であるかのように見せかけ、Microsoft 365アカウントを不正に取得していました。取得したアカウントは後にYam Storeを通じて販売されます」と、Microsoftの別の解説記事は説明しています。

「Storm-3119は、乗っ取ったアカウントやライセンス、ストレージを自動化されたストアフロントで転売しています。下流の犯行グループにこれらの資源を供給するアクセスブローカーとして機能しています」

このほか、同グループはAI生成コンテンツや偽造書類を使ったとみられる架空の組織を作り、Microsoftのテナントを開設していたこともあります。

Storm-2990を読み解く

Yam Storeは、上記のフィッシング基盤とあわせて、Storm-2990のキットを販売しています。

Microsoftは「これらのキットは、複数の業界の組織になりすまし、ネットワーク環境へのアクセスに使われるサインイン認証情報（ユーザー名、パスワード）や金融データ（クレジットカード情報）などを盗み出すよう設計されています」と述べています。

おとりに使われる題材は、未払いの通行料や交通違反の罰金、荷物の配送トラブル、銀行や政府機関へのなりすまし、偽のログインページなどです。目的は認証情報の窃取やデバイスコードフィッシング、そして盗んだ決済情報を使った「高級品の不正購入や、正規の金融プラットフォーム上での不正取引」です。

Storm-2990とStorm-3119によって、一般消費者と組織がそれぞれどれだけ標的にされたかは明らかではありません。レポートによると、これらのキットにはジオフェンシングや偽のCAPTCHAゲート、検知回避の設定など、高度な回避技術が数多く備わっています。

同社は「Microsoftはすでに、YAM Storeに関連する2万件を超えるアカウントを無効化しました。自社サービス上でホストされていたインフラの削除や、なりすましと詐欺に使われていた10万を超えるドメインのブロックも進めており、摘発作業を継続しています」と述べています。