今回の措置は、CoGUIおよび関連するフィッシング作戦に加え、YAM StoreとIron Manによる詐欺活動を支えるインフラを標的にしたものです。
Microsoftと共同原告のHealth-ISACは、米国フロリダ州南部地区連邦地方裁判所に民事訴訟を起こしました。あわせて、これらの作戦を支えるドメインを差し押さえて転送先を変更し、悪意あるWebサイトを差し押さえ通知に置き換えました。
Proofpointは、悪意あるドメインに関するインテリジェンスやキャンペーン情報、訴訟を裏付ける宣誓供述書を提供しました。ほかにも、日本サイバー犯罪対策センター(JC3)、Resecurity、Cloudflare、Oracle、TRM Labsが協力しています。
今回の対策の対象は、CoGUIと、Proofpointが「CoAceV」「CoFish_Ws」と名付けた関連する2つのフィッシングキットです。研究者らは、この3つが共通のルーツを持ち、重複するアフィリエイトによって使われていると高い確度で評価しています。
Proofpointがこの活動の追跡を始めたのは2024年末ごろです。日本を狙った異例の規模のフィッシングキャンペーンを確認したことがきっかけでした。これらのキットは、消費者向けサービス、銀行、決済、配送の各ブランドになりすまし、不正なメッセージを本物らしく見せかけます。
研究者らは、Amazon、Apple、PayPay、楽天、SMBC、DHL、ヤマト運輸など、66のなりすましブランドを確認しました。
Proofpointの追跡によると、CoGUIは1,081件のキャンペーンで、ユニークなドメイン13,586件を使用していました。CoAceVは242件のキャンペーンと2,812件のドメイン、CoFish_Wsは19件のキャンペーンと191件のドメインで確認されています。
3つのキットを合わせると、使用されたユニークなドメインは約17,000件に上ります。2026年7月1日から9月17日までの間には、3,788件のユニークな完全修飾ドメイン名(FQDN)が観測されました。運営者が大規模なインフラを維持し、入れ替え続ける能力を持っていることがうかがえます。
メールは、銀行の通知、決済のトラブル、小売店からの連絡、配送状況の更新などを口実にしています。埋め込まれたリンクをクリックすると、CAPTCHAを含む場合もあるフィルタリングチェックを経て、偽のログインページや決済ページが表示されます。
これらのページは、アカウントの認証情報とクレジットカード情報を収集します。
技術的な共通点が、3つのキットを結び付ける手がかりとなりました。標的の傾向、URLパス、自動解析からフィッシングの内容を隠すためのおとりページなどに類似点がありました。
2026年2月、CoGUIは閲覧条件を満たさない訪問者を無関係のWebサイトへリダイレクトするようになりました。CoAceVも数日後に同じ手法を取り入れました。
研究者らは、2026年4月13日から17日にかけて、両キットがAppleをかたるキャンペーンで同一のおとりページを使っていたことも確認しました。3つのキットすべてに、ほかにも共通するURLパターンが見られました。
追跡対象のキャンペーンの大半は日本を標的にしていましたが、米国、オーストラリア、イタリアを狙ったものもありました。被害が最も大きかった業種は金融サービスとヘルスケアで、政府機関、教育、製造業が続きます。
Proofpointが引用したMicrosoftの数字によると、YAM Store、CoGUI、Iron Manは、2026年1月以降、世界の75,000を超える組織に対して10億通以上の悪意あるメッセージを送りつけました。
今回の措置は、フィッシングの配信インフラと、より広範な犯罪支援サービスの両方を標的にしています。Proofpointは、関係する攻撃者に運用面、評判面、資金面で打撃を与えられると見込んでいます。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。チームでの利用を検討する
翻訳元: https://cyberpress.org/microsoft-proofpoint-disrupt-phishing/
