[ITmedia News] Microsoft、3つの国際的な犯罪ネットサービスを解体へ 日本狙った詐欺がきっかけ

著者 梅林日奈子

[ITmedia]

　米Microsoftは10月14日、国際的な非営利団体Health-ISACと共同で、フィッシング詐欺に使うアカウントやWebサイトなどを提供する3つの犯罪支援サービスの解体に着手したと発表した。日本を狙った詐欺に関する警察庁からの情報提供をきっかけに調査を進め、米裁判所の命令に基づくドメインの差し押さえなどを実施したという。

　対象の3サービスは、不正に取得したアカウントなどを販売する「YAM Store」、偽サイトや詐欺メッセージを提供する「CoGUI」、企業や政府機関などになりすますためのテンプレートを提供する「Iron Man」。同社によると、これらのサービスは2026年1月以降、合計10億通超の悪意あるメッセージの送信に使われた。このうち、Microsoftの顧客を狙ったものは7億5000万通を超えていたという。

　標的は150カ国以上の消費者や医療機関、金融機関などに及び、組織数だけで7万5000超に上る。Microsoftによると、サービスの運営者は数千万ドル規模の利益を得ていたという。

　同社は、医療分野のサイバー脅威情報の共有などを支援する国際的な非営利団体Health-ISACと連携。米フロリダ州南部地区連邦地方裁判所の命令に基づき、3サービスの運営を支えていたドメインを差し押さえ、接続先を変更した。すでにYAM Storeに関連する2万件超のアカウントを無効化したという。また、自社サービス上の犯罪用インフラの削除や、なりすまし・詐欺に使われた10万件超のドメインのブロックも進めている。

アカウントや偽サイトを犯罪者に販売。その手口は

　調査で判明したのは、中国語で運営される犯罪支援サービスのネットワークの存在だった。YAM Storeでは、不正に取得したMicrosoftやGoogleのアカウントなどを販売。通常のオンラインショップのように、商品や価格を比較して購入できたという。

　運営者が、非営利団体や教育機関などの失効したドメインを取得するケースもあった。Webサイトを作り直して組織が活動を続けているように装い、Microsoft 365のアカウントを不正に取得して販売していた。

不正な手段で取得されたマイクロソフとGoogleのアカウントがYAM Storeで販売されている画面（プレスリリース）

YAM Storeで販売するMicrosoft 365アカウントを不正に取得するため、再構築された非営利団体のWebサイト（プレスリリース）

　CoGUIは、企業や金融機関、政府機関などを装った偽サイトやメッセージを提供していた。商品を購入した犯罪者は、自分で偽サイトを作らなくても、パスワードや支払い情報を盗むサイトを公開できた。日本語を使う利用者を狙ったAmazonの偽サイトも確認されたという。CoGUIは、特に日本と米国の利用者を狙う攻撃で広く使われていたとしている。

CoGUIによるAmazonの偽サイト（プレスリリース）

　26年半ばには、CoGUIから新たなサービス「Iron Man」への置き換えが始まっていた。Iron Manは、銀行や小売業者、政府機関などを装うテンプレートを新たに導入し、ビジネスモデルを拡張していた。確認したテンプレートは2300種類超。犯罪者は、特定の企業や国などに合わせたメールやSMS、Webコンテンツを展開できたという。

世界各地の企業やサービス、政府機関を装ったIron Manのテンプレートの例 （プレスリリース）

　なお、Microsoftは3サービスについて「巨大な犯罪ネットワークの一部にすぎない」と説明しており、今回の対応でネットワーク全体が解体されたわけではない。その上で、「これらを断つことで、犯罪者が依存するアカウント、ツール、インフラの入手を困難にすることができる」としている。

調査の発端は、日本向けの詐欺

　調査は、警察庁が日本の利用者を狙う悪意あるメッセージについてMicrosoftに情報を提供したことを受け、25年後半に始まった。日本側では、日本サイバー犯罪対策センター（JC3）が警察庁や会員企業と連携し、国内の被害実態などを提供。犯罪支援サービスの実態解明や無力化に協力した。

　海外では、Health-ISACのほか、米国のResecurity、Cloudflare、Oracle、Proofpoint、TRM Labsが情報提供や調査に協力した。Microsoftは、米シークレットサービスなど各国の法執行機関とも情報を共有し、連携したとしている。