著: スティーブン マサダ (Steven Masada)、マイクロソフト デジタル犯罪対策部門 (DCU) アソシエイト ゼネラル カウンセル
※本ブログは、米国時間 2026 年 10 月 14 日に公開された “Disrupting the service economy behind transnational cybercrime operations” の抄訳を基に掲載しています。
メッセージを開いたら、怪しい通知が届いていた。そんな経験ありませんか？ 荷物をお届けできません。料金が未払いです。銀行口座の確認が必要です。税金の支払い期限を過ぎています。いずれも、すぐに対応するように迫る通知です。内容はさまざまでも、狙いは同じです。リンクをクリックさせ、個人情報を入力させ、金銭を支払わせることです。
こうしたメッセージは途切れることがありません。一つ削除してブロックしても、また次が届きます。無視すればさらに増え、一度でもだまされれば、堰を切ったように押し寄せます。一見すると単純な詐欺メッセージでも、その背後には、国際的に展開される大規模なサイバー犯罪活動があります。私たちが目にするのは、多くの場合、その一端にすぎません。
日本の個人や企業を狙った詐欺を調査するなかで、マイクロソフトと警察庁は、当初、個別の攻撃活動に行き当たるものと考えていました。ところが実際にたどり着いたのは、中国語で運営される巨大なサイバー犯罪の電子市場（アプリ等を配信するマーケットプレイス）でした。そこでは、アカウントやホスティングサービス、偽の Web サイトや偽のオンライン上の身元を作成するツールまで売買されていました。調査は世界規模に広がり、この犯罪エコシステムを支える事業者を突き止めるため、一般財団法人日本サイバー犯罪対策センター（JC3）、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labs が調査に加わりました。
本日、マイクロソフトと Health-ISAC は、この犯罪の電子市場を構成する 3 つのサービス、「YAM Store」、「CoGUI」、「Iron Man」 の解体に着手しました。Health-ISAC は、国際的な非営利団体で、医療系組織間でのサイバー脅威情報の共有と連携を促進し、運用面のレジリエンス向上を支援しています。
2026 年 1 月以降、YAM Store、CoGUI、Iron Manを通じて、世界の 7 万 5,000 を超える組織を標的に 10 億通を超える悪意あるメッセージが送信されました。このうちマイクロソフトの顧客を狙ったものだけで 7 億 5,000 万通を超えます。標的となったのは、150 か国以上の消費者、医療機関、金融機関、その他の企業に及び、運営者は数千万ドル規模の利益を得ていました。
詐欺を支える事業者を追う
調査は 2025 年後半に始まりました。きっかけは、日本の人々を狙う悪意あるメッセージの攻撃について、警察庁がマイクロソフトに情報を提供したことです。その後、各パートナーがこれらの攻撃の経路をたどり、世界中の犯罪者にサービスを供給する事業者を突き止めるまで、警察庁とは情報提供と調査面での協力が続きました。
手がかりを追ってたどり着いたのは、中国語で運営されるサイバー犯罪エコシステムの内部でした。中国語を母語としない調査員には実態の把握は容易ではありません。さらに、調査員は CoGUI へのアクセスを入手し調査を進めました。CoGUI は、企業、金融機関、政府機関などの信頼される組織を装った既製の Web サイトやメッセージを、犯罪者に提供していました。これを使えば、犯罪者は自分で偽サイトを作らなくても、パスワードや支払い情報などの個人情報を盗むためのページをすぐに公開できました。
日本語を使う利用者から、ログイン情報と支払い情報を盗むために作られた、CoGUI による Amazon の偽サイト
マイクロソフトの調査が進むにつれ、JC3 からの情報によって、日本の組織とその顧客を標的とした活動の規模が裏付けられました。JC3 は、130 を超える会員組織のネットワークから集めた情報をもとに、一見すると無関係に見えた個々の事案が、日本の企業や金融機関を狙う大規模な詐欺活動の一部であることを明らかにしました。分析した情報には、消費者から金銭や認証情報、その他の機密情報を詐取する手口等が含まれていました。
調査で繰り返し名前が上がったのが、YAM Storeです。YAM Store はオンラインショップさながらに運営され、利用者は商品を選び、価格を比べ、不正に取得されたマイクロソフトや Google のアカウントや、認証情報の窃取などに使う既製のツールが販売されていました。マイクロソフトが調査目的で実施したおとり購入により、その仕組みが確認されています。
不正な手段で取得されたマイクロソフトと Google のアカウントが YAM Store で販売されていた。
なかには、正規の組織が更新せず失効したインターネットドメインを、運営者が取得するケースもありました。非営利団体や教育機関など、特定の分野を狙った商品も数多く用意されていました。運営者は Web サイトを作り直し、その組織が今も活動しているように装うことでMicrosoft 365 のアカウントを不正に取得し、のちに YAM Store で販売していました。
YAM Store で販売する Microsoft 365 アカウントを不正に取得するため、再構築された非営利団体の Web サイト
今すぐ使える既製のツール
YAM Store では、CoGUI が提供するツールやサービスと組み合わせて、犯罪インフラが提供されていました。さらに調べを進めると、この犯罪エコシステムがすでに変化しつつあることがわかりました。CoGUI は、特に日本と米国の利用者を標的とするサービスとして、最も広く使われるものの一つになっていました。しかし、2026 年半ばには、Iron Man と呼ばれる新しいサービスに置き換わり始めていました。
Iron Man は、犯罪者に信頼される組織に成りすますための既製テンプレート数千種類を新たに導入し、ビジネスモデルを拡張していました。これを使えば、特定の企業やサービス、業種、国に合わせたメール、SMS、Web コンテンツをすぐに展開できました。
調査員は、テスト購入と Resecurity との協力を通じて Iron Man にアクセスし、世界 150 か国以上の銀行、小売業者、医療機関、交通当局、警察、政府機関などを装った 2,300 を超えるテンプレートを特定しました。なかには、政府機関になりすまし、公的機関からの通知に見せかけて相手に圧力をかけ、金銭の支払いや機密性の高い個人情報の開示を迫るものもありました。そのほかにも、銀行や航空会社から通信会社、小売業者、宅配便など、業種、国、言語を問わずさまざまな組織を装うテンプレートが確認されました。
こうしたなりすましテンプレートの例を以下に示します。なお、テンプレートに組織や政府機関が含まれていても、その組織のシステムが侵害されたことを示すものではありません。
世界各地の企業やサービス、政府機関を装った Iron Man のテンプレートの例
フィリピンの運輸関連の政府機関や、宅配サービスの Australia Post を装う Iron Man 提供の SMS テンプレートの例
このネットワークの詳細と、お客様が身を守るための対策は、Microsoft Threat Intelligence ブログで紹介しています。
断片をつなぎ全体像をあぶりだす
この詐欺活動の全体像の把握には、複数の組織の協力が不可欠でした。警察庁とは調査全体を通じて情報提供や調査面で緊密に連携し、活動の仕組み解明を支援いただきました。JC3 は日本の組織や消費者に及ぶ活動の規模を明らかにし、Health-ISAC からは医療機関への影響について知見を提供いただきました。さらに、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labs に情報提供と調査面での協力をいただきました。
私たちは各組織と連携し、AI ツールも活用して、当初は無関係に見えたアカウント、Web サイト、インフラのつながりを発見し、その背後にあるより大きな犯罪のエコシステムを明らかにしました。米国シークレットサービスをはじめ、各国の法執行機関とも情報を共有し緊密に連携しています。
今回の調査では、今年のマイクロソフトデジタル防衛レポート（MDDR）が指摘した傾向も見えてきました。現代の詐欺は、犯罪者がより多くの被害者に接触しやすくする事業やサービスへの依存を強めています。相互に深く結び付いたこれらのサービスが仕組みを解明するには、業界や国境を越えた双方向の情報共有が不可欠でした。
供給元を断つ
マイクロソフトと Health-ISAC は、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、YAM Store、CoGUI、Iron Man の運営を支えていたドメインを差し押さえ、接続先を変更しました。マイクロソフトはすでに、YAM Store に関連する2万件を超えるアカウントを無効化しています。また、自社サービス上でホストされているインフラを削除し、なりすましや詐欺に使われた 10 万件を超えるドメインをブロックするなど、引き続きこの活動の解体を進めています。
日本の人々や組織を狙う詐欺から始まった調査は、世界中の犯罪者にサービスを供給する地下経済へとたどり着きました。YAM Store、CoGUI、Iron Man は、巨大な犯罪ネットワークの一部にすぎません。それでも、これらを断つことで、犯罪者が依存するアカウント、ツール、インフラの入手を困難にすることができます。
被害者の目に触れるのは、多くの場合、一通の詐欺メッセージだけです。しかし、それを可能にするのは、その背後で犯罪を支える事業者なのです。
——————
本ページのすべての内容は、作成日時点でのものであり、予告なく変更される場合があります。正式な社内承認や各社との契約締結が必要な場合は、それまでは確定されるものではありません。また、様々な事由、背景により、一部または全部が変更、キャンセル、実現困難となる場合があります。予めご了承下さい。