Microsoftは、2026年1月以降、世界中の消費者と7万5000を超える組織を標的にした10億件以上の悪意あるメッセージに関係する、世界規模のサイバー犯罪ネットワークを妨害した。
Microsoftは 10月14日の発表で、Health-ISACと協力し、相互に結び付いた3つの犯罪サービス、YAM Store、CoGUI、Iron Manを支えるドメインを差し押さえ、誘導先を変更したと発表した。これらのサービスによって犯罪者は、信頼されている組織になりすまし、認証情報を盗み、150カ国以上でフィッシング攻撃を展開できた。
Microsoftの顧客だけでも、7億5000万件を超えるメッセージの標的となった。今回の摘発は、商業化されたフィッシングインフラによって犯罪者が大規模な攻撃を仕掛けられることを示しており、個々のキャンペーンが妨害された後も企業に継続的なリスクをもたらす。
Microsoft、世界規模のフィッシング活動を支えるドメインを差し押さえ
Microsoftと日本の警察庁は、日本の消費者と企業を狙った一連の不正メッセージキャンペーンを捜査し、はるかに大規模な国際的サイバー犯罪エコシステムを明らかにした。
捜査の結果、犯罪者が侵害済みアカウントやクラウドインフラを購入できる中国語のマーケットプレースが見つかった。そこでは、既製の偽サイトやなりすまし用テンプレートを提供するフィッシングサービスも販売されていた。
Microsoft Threat Intelligenceによると、このエコシステムには相互に結び付いた複数のサービスが含まれていた。
- YAM Store：侵害または不正に取得されたMicrosoftとGoogleのクラウド環境へのアクセスを販売する地下マーケットプレース。フィッシングキャンペーンを支えるために使われたMicrosoft 365のアカウント、ライセンス、ストレージなどを扱っていた。
- CoGUI：正規の組織になりすました偽サイトやメッセージを提供するフィッシングキット。
- Iron Man：銀行、小売企業、政府機関など、信頼されている組織になりすますために設計された数千種類のテンプレートを提供するフィッシングサービス。
MicrosoftはYAM StoreをStorm-3119として追跡している。一方、CoGUI、Haozi、Iron Manに関連する活動クラスターはStorm-2990として追跡している。HaoziはYAM Storeを通じて販売されていた別のフィッシングキットだが、10月14日の妨害発表ではYAM Store、CoGUI、Iron Manに焦点が置かれた。
同社によると、3つのフィッシングキットに見られる類似点は、開発元の共通性、コードの再利用、または開発者間の緊密な協力関係を示唆している。
Microsoftによると、捜査員は、150カ国以上の銀行、小売企業、医療機関、政府機関などになりすますIron Manのフィッシングテンプレートを2300種類以上特定した。
活動の標的となったのは、医療、金融サービス、情報技術などの業界だった。ただし、ある組織がフィッシングテンプレートでなりすましの対象になっていたからといって、その組織のシステムが侵害されたとは限らない。
MicrosoftとHealth-ISACは、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、YAM Store、CoGUI、Iron Manを支えるインフラに関連するドメインを差し押さえ、誘導先を変更した。
Microsoftによると、10月14日時点でYAM Storeに関連するアカウントを2万件以上無効化し、サービスからインフラを引き続き排除するとともに、なりすましや詐欺に使われた10万件以上のドメインをブロックしていた。
今回の作戦は、個々の詐欺キャンペーンではなく、フィッシングインフラの供給業者を標的にした。Microsoftはネットワークの重要な構成要素を妨害したものの、より広範なフィッシングエコシステムが消滅したわけではない。
今回のフィッシング摘発が企業のセキュリティチームに意味すること
今回の作戦規模は、攻撃者が独自のツールを開発するのではなく、インフラを購入できる商用サービスへとフィッシングが進化したことを示している。
YAM StoreはMicrosoftとGoogleの環境へのアクセスを提供しており、悪意ある活動をより信頼できるものに見せかける可能性があった。一部のアカウントは期限切れの組織ドメインに関連付けられていた一方、クラウドサービスを取得するために作られた偽の組織に関係するものもあった。
こうした手法によって、悪意あるメッセージが一見正規のインフラから送信される可能性があるため、検知は難しくなる。問題は従来型のメールフィッシングにとどまらない。Microsoftの調査では、メール、テキストメッセージ、認証情報の窃取を伴う攻撃が記録されており、技術レポートではクラウド認証とインフラの悪用についても検証している。
eSecurityPlanetの過去の報道では、 Microsoft 365のパスキーを狙うフィッシング攻撃によって企業のクラウドデータに不正アクセスされる可能性を取り上げた。
他のキャンペーンでは、 Googleのサービスを悪用してフィッシングのリダイレクトを隠蔽していた。また、eSecurityPlanetは、 悪意あるMicrosoft 365へのログインが正規の活動に紛れ込む可能性があり、侵害されたアカウントの検知が難しくなることも報じている。
これらは別々のインシデントだが、疑わしいドメインをブロックするだけでは不十分である理由を示している。
Microsoftの脅威インテリジェンスレポートは、ID保護の強化、メールセキュリティの改善、フィッシング手法に関するユーザー教育を推奨している。企業のセキュリティチームにとって、今回の調査結果は次の3つの優先事項を浮き彫りにしている。
- IDセキュリティを強化する：対応している環境ではフィッシング耐性のある多要素認証を導入し、最小権限アクセスを徹底するとともに、機密性の高いアカウントを保護するために条件付きアクセスのポリシーを使用する。
- フィッシング検知を改善する：Microsoft Defender for Office 365とExchange Online Protectionの設定を見直し、疑わしいメッセージを調査し、予期しない要求は信頼できる通信経路を通じて確認する。
- 侵害されたアカウントに備える：通常とは異なるサインインや認証情報の変更を監視し、侵害されたセッションを失効させ、不正なクラウド活動を調査する。
組織は、自社ブランドになりすますフィッシングキャンペーンも監視すべきだ。特に、犯罪者が偽のドメインやウェブサイトを使って顧客を標的にしている場合は注意が必要になる。
Microsoftの措置による直接的な効果は、大規模な詐欺を支えるインフラを妨害したことだ。しかし、より広範なフィッシングエコシステムが消滅したわけではないため、組織は他の犯罪サービスを通じた同様の攻撃にも引き続き備える必要がある。
企業の防御担当者にとって、より大きな教訓は、フィッシングキャンペーンがアカウント、ホスティング、攻撃ツールの相互接続された供給業者にますます依存していることだ。こうした供給業者を妨害すればサイバー犯罪のコストを引き上げられるが、組織には、信頼できるインフラが使われている場合でも悪意ある活動を検知できる多層防御が依然として必要になる。
サイバーセキュリティ関連のニュース：Microsoftが RaccoonO365のフィッシングネットワークを妨害したことを紹介する記事を読んでほしい。これは世界規模の犯罪サービスを通じてMicrosoft 365の認証情報を標的にしていた。