Microsoft On the Issuesのページ
出典: Microsoft On the Issues

75,000超の組織を狙った犯罪インフラ

Microsoftと日本の警察庁（NPA）は、YAM Store、CoGUI、Iron Manを含む国際的なフィッシング網を捜査し、MicrosoftとHealth-ISACは関連ドメインを差し押さえて転送しました。2026年1月以降、この仕組みは150カ国以上の75,000超の組織に10億件を超える悪意あるメッセージを送り、そのうち7億5,000万件超がMicrosoftの顧客を狙ったとされています。

対象は消費者、医療機関、金融機関などで、メッセージは配送問題、未払いの通行料、交通違反、アカウント確認を装っていました。偽サイトへ誘導し、パスワードや決済情報などを入力させる仕組みです。

捜査は、2025年後半に日本の警察庁がMicrosoftへ寄せた、日本の個人や組織を狙う詐欺メッセージの情報を発端とします。調査は日本の組織を狙う活動から始まり、各国の犯罪者にアカウントやホスティング、フィッシング用ツールを供給するサービス網へと広がりました。

アカウントや偽サイトを犯罪者に供給

YAM Storeは、詐欺に使うMicrosoftやGoogleのアカウント、ライセンス、ストレージなどを販売していました。運営側は期限切れになった実在組織のドメインを取得し、活動中に見えるようウェブサイトを再構築して、クラウドアカウントを不正に入手していました。

別の手口では、AIツールで架空組織のコンテンツや文書を用意し、偽の組織として整えていました。入手したMicrosoft環境では、盗んだアプリケーション認証情報でアカウントやライセンスを管理し、SharePointとOneDriveのストレージをフィッシング用コンテンツの置き場に使っていました。

犯罪者はCoGUIなどのキットを使い、企業、金融機関、行政機関を装うサイトやメッセージを用意できました。Microsoftの捜査では、関係がないように見えるアカウント、ウェブサイト、インフラのつながりを調べる際に、AIツールも使われました。

Iron Manは2,360種類の偽装テンプレートを提供

CoGUIは主に日本と米国の利用者を狙い、2026年半ばまで広く使われていました。その後、銀行、小売、医療、運輸、警察、政府機関などを装うテンプレートを備えたIron Manが、新しい選択肢として広がりました。

Resecurityが調べたIron Manのカタログには、2,360種類のフィッシング用パッケージがありました。テンプレートは郵便・配送、税務、銀行、通信、ポイントサービスなどを装い、カタログへの最も新しい追加日は2026年10月1日でした。

キットは地域判定、偽のCAPTCHA、IPフィルタリングなどを使い、対象外の利用者やセキュリティ調査を妨げる機能も備えていました。Microsoft 365を狙う攻撃の多くでは、デバイスコード型フィッシングで認証トークンを得ていました。

正規の認証手順を利用してトークンを取得

デバイスコード認証は、テレビやコマンドラインツールなど、端末上で通常のブラウザー操作が難しい場合に、別の端末で認証を完了させる方式です。利用者が認証コードを入力してサインインすると、元の端末がアクセストークンを受け取ります。

フィッシングでは、攻撃者が先に認証要求を開始し、生成されたコードをメールやメッセージで被害者に送ります。被害者が正規のMicrosoftサインイン画面でコードを入力して多要素認証（MFA）を完了すると、攻撃者側の端末に認証トークンが渡ります。

このため、利用者が本物のサインイン画面でMFAを通過しても、攻撃者が開始したセッションを承認することがあります。Microsoft 365を狙うメッセージでは、偽のログイン画面に加えて、正規の認証フロー自体も悪用されていました。

ドメイン差し押さえとアカウント無効化

米国フロリダ州南部地区連邦地方裁判所の命令を受け、MicrosoftとHealth-ISACはYAM Store、CoGUI、Iron Manを支えるドメインを差し押さえて転送しました。MicrosoftはYAM Storeに関係する2万超のアカウントを無効化し、なりすましや詐欺に使われた10万超のドメインをブロックしました。

Proofpointが追跡したCoGUI、CoAceV、CoFish_Wsの3種のキットでは、合計1,342件のキャンペーンと16,589個の固有ドメインが記録されています。Proofpointは、3種のキットに共通の起源があり、活動主体にも重なりがあると高い確信度で評価しました。

正規のクラウド環境の悪用は、攻撃者自身が用意したドメインとは異なる検知上の課題を生みます。Proofpointは2020年上半期、SharePointやOneDrive上の悪意あるリンクを含むメールを590万件検知しました。同社の調査では、利用者は正規のMicrosoftドメインに置かれた悪意あるリンクを7倍クリックしやすい傾向がありました。