Microsoft、中国系国際サイバー犯罪ビジネスを解体 警察庁などと連携

Microsoftは14日、日本の警察庁らと連携し、中国語で運営される巨大なサイバー犯罪マーケットプレイスのビジネス網の解体を進めたと発表した。医療系サイバー犯罪対策の国際的な非営利団体Health-ISACとも協力し、サイバー犯罪の電子市場を構成する「YAM Store」、「CoGUI」、「Iron Man」の3サービスについて、運営を支えるドメインを差し押さえ、接続先を変更するなどで抜本的に対策した。

2026年1月以降、YAM Store、CoGUI、Iron Manを通じ、世界の7.5万以上の組織を標的とし、10億通を超える悪意あるメッセージが送信された。Microsoftの顧客を狙ったものだけで7.5億通を超えており、150カ国以上の消費者、医療機関、金融機関、企業に及び、運営者は数千万ドル規模の利益を得ていたという。

対策のきっかけとなったのは、警察庁からMicrosoftへの情報提供。25年後半に、日本の人々を狙う悪意あるメッセージの攻撃について情報提供を受け、その後、各パートナーがこれらの攻撃の経路をたどり、世界中の犯罪者にサービスを供給する事業者を突き止めた。このエコシステムへの対策のため、日本サイバー犯罪対策センター(JC3)、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsらが協力した。

この連携により、たどり着いたのが、中国語で運営されるサイバー犯罪エコシステム。調査員はCoGUIへのアクセス権を入手し調査を進めたが、CoGUIは、企業、金融機関、政府機関などの信頼される組織を装ったWebサイトやメッセージを、犯罪者に提供していた。これらを使うことで、犯罪者は自分で偽サイトを作らなくても、パスワードや支払い情報などの個人情報を盗むためのページをすぐに公開できたという。

また、Microsoftの調査が進むにつれ、JC3からの情報により、日本の組織とその顧客を標的とした活動の規模が裏付けられた。分析した情報には、消費者から金銭や認証情報、その他の機密情報を詐取する手口等が含まれていたという。

この調査で繰り返し名前が挙がったのがYAM Store。YAM Storeはオンラインショップのように運営され、利用者が商品を選び、価格を比べる形で、不正に取得されたMicrosoftやGoogleのアカウント、認証情報の窃取などに使うツールを販売していた。Microsoftによる調査目的の購入により、その仕組みが確認された。

不正な手段で取得されたマイクロソフトとGoogleのアカウントが「YAM Store」で販売されていた

Microsoft 365 アカウントを不正に取得するため、再構築された非営利団体のWebサイト

YAM Storeでは、CoGUIが提供するツールやサービスと組み合わせて、「犯罪インフラ」が提供されていた。さらに調べを進めると、これらの犯罪エコシステムが、26年半ばには、Iron Manと呼ばれる新しいサービスに置き換わり始めていたという。

Iron Manは、犯罪者が信頼されている組織になりすますためのテンプレート数千種類を新たに導入し、ビジネスモデルを拡張。これらを使って、特定の企業やサービス、業種、国に合わせたメール、SMS、Webコンテンツをすぐに展開できた。

調査員は、テスト購入とResecurityとの協力を通じてIron Manにアクセスし、世界中の銀行、小売業者、医療機関、交通当局、警察、政府機関などを装った2,300を超えるテンプレートを特定。なかには、政府機関になりすまし、公的機関からの通知に見せかけて相手に圧力をかけ、金銭の支払いや機密性の高い個人情報の開示を迫るものもあったという。そのほかにも、銀行や航空会社から通信会社、宅配便まで、業種、国、言語を問わずさまざまな組織を装うテンプレートが確認されている。

Iron Manのテンプレートの例

フィリピンの運輸関連の政府機関や、宅配サービスのAustralia Postを装うIron Man提供のSMSテンプレートの例

今回の事例は、日本の人々や組織を狙う詐欺から始まった調査から、世界中の犯罪者にサービスを供給する地下経済へとたどり着いたもの。

Microsoftは警察庁など各組織と連携、AIツールも活用しながら、当初は無関係に見えたアカウントやWebサイト、インフラのつながりを発見し、その背後にある大きな犯罪のエコシステムを解明した。これにより同社とHealth-ISACが、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、YAM Store、CoGUI、Iron Manの運営を支えていたドメインを差し押さえ、接続先を変更。YAM Storeに関連する2万件を超えるアカウントを無効化したほか、自社サービス上でホストされているインフラを削除し、なりすましや詐欺に使われた10万件を超えるドメインをブロックするなど、活動の解体を進めている。