- Microsoftは、フィッシングツールやアカウント、詐欺用インフラを販売していたサイバー犯罪マーケットプレイスの解体を支援
- CoGUIとIron Manの2つのプラットフォームが、世界中の組織を狙う大規模なフィッシングキャンペーンを可能にしていた
- この犯罪基盤は10億通を超えるフィッシングメッセージを送出。その後、ドメインと数千のアカウントが押収された
昨年末、Microsoftはまたしてもフィッシングキャンペーンの一つと思われる事案の調査に乗り出しました。
しかし、その水面下から見えてきたのは、はるかに大きな実態でした。中国語圏の巨大なサイバー犯罪マーケットプレイスで、無数の攻撃者がデジタルアカウントやWebホスティングサービスのほか、偽装サイトや偽の身元を作成するためのさまざまなツールを売買していたのです。
Microsoftは、Proofpointなどの民間サイバーセキュリティ企業や日本の法執行機関と共同で、このマーケットプレイスの解体を主導した経緯を明らかにしました。Proofpointも、この取り組みに参加した企業の一つです。
YAM Store、CoGUI、Iron Man
調査のきっかけは、日本の警察庁（NPA）がMicrosoftに対し、国内の個人と企業を標的とした詐欺の急増について情報提供したことでした。
研究者らは、YAM Storeと呼ばれる大規模な地下マーケットプレイスを突き止めました。そこでは、不正に取得されたMicrosoftやGoogleのアカウントが販売されていたほか、認証情報の窃取をはじめ、詐欺を実行するための既製ツールもさまざまに取り扱われていました。
この店舗では、CoGUIとIron Manという2つのツールが目立っていました。前者はWebサイト構築フレームワークで、後者はテンプレートギャラリーとみられます。
「CoGUIは、企業や金融機関、政府機関などの信頼される組織になりすました既製のWebサイトやメッセージを犯罪者に提供していました」とMicrosoftは説明しています。「犯罪者は不正なWebサイトを自作しなくても、パスワードや決済情報、その他の個人データを盗み取るよう設計されたページをすぐに展開できました」
研究者らによると、CoGUIはこのエコシステムで最も広く使われたサービスの一つとなり、主に日本と米国の被害者を狙っていました。しかし2026年半ばには、徐々にIron Manに置き換わっていきました。
「Iron Manは、信頼される組織になりすますために作られた数千もの既製テンプレートを犯罪者に提供することで、このモデルをさらに拡張しました」と研究者らは述べています。「犯罪者は、特定のブランドや業界、国に合わせたメール、テキストメッセージ、Webコンテンツを迅速に展開できました」
Microsoftによると、このツールは150を超える国々の銀行、小売業者、医療機関、警察機関などをかたる、2,300以上のテンプレートを提供していました。
この店舗とその商品は、サイバー犯罪コミュニティで非常に人気がありました。今年だけで、世界75,000の組織に向けて10億通を超えるフィッシングメッセージの送信を後押ししました。このうち、Microsoftの顧客だけでも、年初から7億5,000万通を超えるメッセージを受け取っています。
これらの攻撃により、運営者は「数千万ドル」の利益を得ていました。
犯罪基盤の解体
Microsoftによると、このネットワークは現在、解体が進められています。米国フロリダ州南部連邦地方裁判所の命令を受け、MicrosoftとHealth-ISAC（医療機関のサイバー情報共有を支援する世界的な非営利団体）は、YAM Store、CoGUI、Iron Manにつながるドメインを押収し、転送先を変更しました。同時にMicrosoftは、この店舗に関連する20,000を超えるアカウントを無効化しました。さらに「自社サービス上でホストされているインフラを削除することで、犯罪基盤の解体を引き続き進めています」としています。
これまでの措置により、なりすましや詐欺に使われていた100,000を超えるドメインがブロックされました。
「日本の個人や組織を狙った詐欺行為に端を発した調査は、世界中の犯罪者に商品やサービスを供給する地下のサービス経済へとたどり着きました」と研究者らは結論づけています。
「YAM Store、CoGUI、Iron Manは、その巨大な犯罪ネットワークの一部にすぎません。しかし、これらを壊滅させることで、犯罪者が頼りとするアカウントやツール、インフラの入手を困難にできます」
インフラの解体は評価できる成果ですが、逮捕者が出なければ、このマーケットプレイスが遅かれ早かれ再び現れる可能性は高いでしょう。たとえば、2025年初めに法執行機関が主要な2つのプラットフォームCrackedとNulledを摘発した際には、容疑者2人を逮捕し、17台のサーバーと50台を超える電子機器を押収しました。
違法商品やサービスとしてのサイバー犯罪（cybercrime-as-a-service）を提供していたフォーラムのCrackedとNulledは、合計1,000万人を超えるユーザーを抱えていました。捜査当局は、逮捕された容疑者らが100万ドルを超える犯罪収益を得ていたと推定しています。
