日本も標的、10億通のフィッシング 量産を支えた「見えない商流」：セキュリティニュースアラート

Microsoftは法執行機関と連携し、日本や米国などの組織に10億通超のフィッシングメールやSMSを送り付けたサイバー犯罪ネットワークを停止に追い込んだ。攻撃者はなぜ、これほどの規模の攻撃を低コストで量産できたのか。

[ITmedia]

　Microsoftは2026年10月14日（現地時間）、大規模フィッシング攻撃を支えてきた中国語圏のサイバー犯罪ネットワークを停止に追い込んだと発表した。同社のサイバー犯罪対策部門Digital Crimes Unit（DCU）が世界各国の法執行機関などと連携し、ネットワークの中核を担う開発者とインフラの活動を停止させた。

　このネットワークを利用した攻撃者は2026年1月以降、世界7万5000超の組織に10億通超のフィッシングメールとSMSを送信した。標的となったのは日本や米国、オーストラリア、インドの医療、金融サービス、卸売、ITの各業界だ。中でも日本は、米国と並んで最も影響を受けた国だった。

　フィッシング自体は目新しい手口ではない。しかし、高度な技術を持たない犯罪者までもが、なぜ10億通規模の攻撃に関与できたのか。Microsoftは1年にわたる調査で、その背後にある構造を突き止めた。

フィッシングは「作る」から「買う」へ

　その答えは、乗っ取ったクラウド環境やフィッシングキットを「商品」として売買する闇マーケットプレース「YAM Store」を中心とした、分業型の犯罪エコシステムだ。

　MicrosoftがStorm-3119の名称で追跡するYAM Storeは、攻撃の足掛かりとなるアカウントやインフラを他の犯罪者に販売する「イニシャルアクセスブローカー」だ。侵害または不正取得したMicrosoftやGoogleのクラウド環境と、関連する認証情報を扱う。教育機関（.edu）や非営利団体（.org）といった環境の種別ごとに品ぞろえし、正規に見えるインフラを低コストで提供する。

　Microsoftの調査によると、Storm-3119は次の5段階のパイプラインで環境を乗っ取り、収益化している。

1. 偵察：　Webフレームワークを使った自動偵察で「Microsoft 365」のテナントを特定し、ライセンスやクラウドの情報を匿名で収集する
2. 環境の乗っ取り：　盗んだアプリケーションの認証情報を使う管理パネルを通じて、パスワードの無断リセットやライセンス付与など、ディレクトリ全体を制御する
3. ストレージの悪用：　管理者アカウントで自らに広範な権限を付与し、「Microsoft SharePoint」や「Microsoft OneDrive」の記憶領域を大容量ホスティングとして商品化する
4. フィッシング基盤の提供：　フィッシングドメインやSSL証明書、DNS設定を一元管理する専用基盤を顧客向けに運用する
5. 販売：　乗っ取ったアカウントやライセンス、ストレージを自動化された店舗で再販する。決済には「Alipay」や「WeChat Pay」のほか暗号資産も使われる

　既存環境の乗っ取りに加えて、架空の非営利団体をでっち上げ、Microsoftのプラットフォーム上にテナントを新規作成する手口も確認された。団体の体裁を整えるために、AIで生成したコンテンツや偽造文書を使ったとみられる。

　YAM Storeと密接に結び付くのが、「CoGUI」「Haozi」「Iron Man System」という3つのフィッシングキットの運営者群だ。YAM Storeはこれらの運営者群にインフラを販売するとともに、キット自体の販売窓口にもなっている。Microsoftはこれらの開発者と活動をStorm-2990として追跡する。いずれも中国語話者の攻撃者が開発したとみられ、フィッシングに必要な機能一式を提供する「フィッシング・アズ・ア・サービス」として商用展開されている。

　中でもIron Man Systemは2335超のフィッシングテンプレートを備え、139超の国と地域に対応する。政府機関や金融、運輸、小売などの正規の組織やブランドをかたるルアー（おとりのメッセージ）を提供し、日本の金融サービス事業者を装ってアカウントの再認証を促す日本語のメールも確認された。標的が入力した認証情報やクレジットカード情報は、メッセージアプリ「Telegram」を通じて攻撃者にリアルタイムで通知される。攻撃者が標的の操作を監視しながら画面の表示内容を操る、対話型のフィッシングも可能だ。

　これらのキットを購入した攻撃者による後続の攻撃も確認されている。盗んだ認証情報によるアカウント侵害や、デバイスコード認証の悪用による認証トークンの窃取、盗んだ決済情報を使った高額商品の不正購入などだ。

Microsoftが推奨する防御策は

　Microsoftは、このエコシステムの悪用対象は同社のサービスに限らず、他のプロバイダーにも及ぶとしている。観測された活動の大半はソーシャルエンジニアリングとフィッシング、アカウントやストレージの乗っ取りで構成され、どの組織でも被害に遭う可能性があるという。

　その上で同社は、次の対策を推奨している。

• 利用者への教育：　確認されたルアーの大半は緊急性をあおる定型的な手口に従っていた。メールやSMS内のリンクを使わず、送信元をかたられた組織に直接確認するよう周知する
• 認証の強化：　パスキーなどのパスワードレス認証と多要素認証（MFA）を全社に導入し、特権アカウントにはフィッシング耐性のあるMFAを条件付きアクセスで適用する
• 最小権限の徹底：　グローバル管理者権限の悪用が確認されているため、最小権限とゼロトラストの原則に基づき管理者ロールへのアクセスを制限する

　対策の詳細や「Microsoft Defender」での検出項目は、関連リンクのMicrosoftのブログで確認できる。