Microsoftは米国時間10月14日、世界各国で10億通を超える詐欺メッセージの送信に使われた犯罪基盤の遮断に乗り出したと発表した。米国の裁判所命令に基づき、フィッシングサイトの作成ツールなどを提供していた3サービスの関連ドメインを差し押さえた。調査のきっかけとなったのは、日本の警察庁からの情報提供だった。
発表文
※クリックすると拡大画像が見られます
対象となったのは「CoGUI」「Iron Man」「YAM Store」の3サービス。いずれも中国語圏のサイバー犯罪市場で利用されていたもので、偽サイトや詐欺メッセージの作成ツール、不正なアカウントなどを犯罪者に販売していた。Microsoftは医療分野の脅威情報共有団体Health-ISACと協力し、米フロリダ州南部地区連邦地方裁判所の命令を得て関連ドメインを差し押さえた。
Microsoftによると、3サービスは2026年1月以降、合計10億通を超える不正なメッセージの送信に使われた。このうちMicrosoftの顧客に向けたものだけで7億5000万通を上回る。標的となった組織は世界で7万5000以上に達し、150カ国以上の消費者や医療機関、金融機関などが狙われた。サービスの運営者は数千万ドルの収益を得ていたという。
Microsoftはドメインの差し押さえに加え、YAM Storeに関連する2万以上のアカウントを無効化した。自社サービス上の不正なインフラの撤去や、なりすましや詐欺に使われた10万以上のドメインのブロックも進めている。
警察庁の情報提供から世界規模の犯罪市場が浮上
調査の発端は2025年後半にさかのぼる。警察庁が日本を狙う不正なメッセージについてMicrosoftに情報を提供した。当初は個別の詐欺キャンペーンを調べていたが、その背後に、詐欺に必要な道具を売買する大規模な中国語圏のサイバー犯罪市場が存在することが分かった。
この市場では、犯罪者が自分で偽サイトを開発したり、サーバーを用意したりする必要がない。既製のツールやアカウントを購入するだけで、銀行や配送業者、政府機関などを装う詐欺を始められる仕組みになっていた。
例えば、荷物を届けられない、通行料金が未払いになっている、銀行口座に問題があるといったSMSも、こうした犯罪基盤を利用して大量に送信されていた。受信者を偽サイトに誘導し、ログイン情報や決済情報を盗み取る手口だ。
偽サイトを簡単に作れる「CoGUI」と「Iron Man」
調査で浮かび上がったサービスの1つがCoGUIだ。企業や金融機関、政府機関などになりすました偽サイトや詐欺メッセージを、既製品として提供していた。犯罪者は自分でウェブサイトを開発しなくても、パスワードや決済情報を盗むページをすぐに用意できた。
Microsoftの公式ブログには、日本語話者を狙ってログイン情報や決済情報を盗むために作られたAmazonの偽サイトも掲載されている。CoGUIは特に日本と米国の利用者を標的とし、この犯罪市場で広く使われるサービスの1つになっていた。
ただし、2026年半ばにはCoGUIに代わり、「Iron Man」と呼ばれる新たなサービスが台頭していた。
Iron Manは、銀行や小売店、医療機関、交通当局、警察、政府機関などを装うテンプレートを大量に提供していた。犯罪者はブランドや国に合わせたメール、SMS、偽サイトを短時間で作成できたという。
Microsoftはセキュリティ企業Resecurityと協力し、実際にIron Manへのアクセスを購入して調査した。その結果、確認できただけで2300件以上のテンプレートが存在し、150カ国以上の組織になりすます内容だった。フィリピンの交通当局やオーストラリア郵便を装うSMSも確認された。
なお、テンプレートに特定の組織の名称が使われていても、その組織のシステムが侵害されたことを意味するわけではないとMicrosoftは説明している。
不正アカウントを販売する「YAM Store」
もう1つのサービスがYAM Storeだ。一般的なオンラインショップのような構成で、MicrosoftやGoogleの不正なアカウントや、認証情報を盗むためのツールなどを販売していた。購入者は商品を選び、価格を比較して、詐欺に必要な道具を入手できた。Microsoftは実際に商品を購入し、その仕組みを調べたという。
運営者は、非営利団体や教育機関が使わなくなったドメインを取得し、元の組織が現在も活動しているように見せかけたウェブサイトを作成していた。これを利用してMicrosoft 365のアカウントを不正に取得し、YAM Storeで販売していたという。
つまり、偽サイトや詐欺メッセージを作るサービスだけでなく、それらを運用するためのアカウントなどを供給する業者も存在していた。Microsoftが今回対象としたのは、こうした犯罪を支えるサービスの供給網だ。
官民の連携で犯罪基盤を特定
今回の調査には、警察庁のほか、日本サイバー犯罪対策センター（JC3）も協力した。JC3は130以上の加盟組織から集めた情報を分析し、別々の事件に見えた事案を、日本企業や金融機関を狙う一連の詐欺として結びつけた。
Health-ISACは医療機関への影響を調査し、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsも情報提供や分析に協力した。MicrosoftはAIツールも活用し、一見無関係なアカウントやウェブサイト、インフラのつながりを特定した。米シークレットサービスや各国の法執行機関とも情報を共有している。
Microsoftのデジタル犯罪対策部門（DCU）を率いるSteven Masada氏は、犯罪市場の全体像を単独で把握していた組織はなかったと説明する。複数の組織が持つ情報を組み合わせることで、国境を越えた犯罪基盤が明らかになったという。
Microsoftは、今回の事例について、サイバー犯罪が専門のサービス事業者に依存する傾向を示していると指摘する。3サービスはより大きな犯罪ネットワークの一部にすぎないものの、今回の措置によって犯罪者が詐欺に必要なアカウントやツール、インフラを入手しにくくなると見込んでいる。
Masada氏はブログの最後に、詐欺メッセージは被害者から見える犯罪の一部分にすぎず、その背後には詐欺を可能にするビジネスが存在すると強調した。
Amazonで現在開催中のセールを見る
Amazonのアソシエイトとして、CNET Japanは適格販売により収入を得ています