10億通超のフィッシングメール・SMSはどこから来たのか。Microsoftが暴いた地下市場「YAM Store」の中身を確かめる

まず初めに

サブスクリプション型のライセンス、再販業者向けの階層制度、Alipay・WeChat Pay・USDTまで揃った決済手段――もはや正規のSaaS企業が裸足で逃げ出す「経営努力」である。盗んだ認証情報を右から左へ売りさばくだけの小遣い稼ぎだと思っていたら大間違いで、相手はテンプレート2,335種・対応139カ国という品揃えまで誇っていた。まじめに営業している中小企業より決済手段が充実しているあたり、犯罪の世界にも市場原理は容赦なく効いてくるらしい。※個人の感想です

何が起きているのか

Microsoftは2026年10月14日、Microsoft Threat IntelligenceとMicrosoft Digital Crimes Unit(DCU)の共同調査として、中国語圏のサイバー犯罪エコシステムの実態を公式ブログで公表しました。調査対象は、地下市場「YAM Store」(Microsoftが「Storm-3119」として追跡)と、そこで売買される3種類のフィッシングキットの開発者群(「Storm-2990」として追跡)です。

YAM Storeは、侵害された、または不正に取得したMicrosoft 365・Azure・Google Cloudの環境を販売する初期アクセスブローカーしょきあくせすぶろーかー(他の攻撃者に侵入済みの環境への足がかりを売る業者)として機能していました。YAM Storeが取得・再販するインフラには、失効した、または過去に使われた組織番号に紐づくドメインや、教育機関(.edu)・非営利団体(.org)向けの環境などがありました。これは売り物となるインフラの属性で、フィッシングメールの送信先がこれらに偏るという意味ではありません。攻撃の流れは5段階に整理されています。(1)Flaskで作られた自動化ツールがTor経由で匿名にクラウド利用組織を調べる偵察、(2)アプリ専用の管理パネルでアプリの認証情報を使いパスワードを静かにリセットしてライセンスや権限を付与する環境の乗っ取り、(3)グローバル管理者権限を取得しSharePointやOneDriveを大量のファイル配布先として転用するストレージの悪用、(4)Cloudflareを通じてフィッシング用ドメイン・証明書・転送設定を一元管理するDNS基盤の構築、(5)アカウント・ライセンス・ストレージを自動販売するストアフロントの運営、です。偽の非営利団体を作り、AIで生成したとみられるコンテンツや偽造書類で信頼性を装ってテナントを作成した例も確認されています。

販売される3つのフィッシングキットは「CoGUI」(別名NX、FA)、「Haozi」(別名Phoenix)、「Iron Man System」です。ブランドは別々ですが機能や基盤が酷似しており、コードの流用や共同開発が疑われています。Iron Man Systemはライセンスサーバーへのサブスクリプションで提供され、ライセンスサーバーのドメインがキットにあらかじめ埋め込まれています。テンプレートは2,335以上あり、139以上の国に対応、中でも米国向けが最多で、交通機関や政府機関を装う偽装が多く見られます。回避機能として、国による接続制限、偽のCAPTCHAきゃぷちゃ表示、IPアドレスの許可・拒否リスト、セキュリティ研究者の検知を避ける設定が組み込まれています。被害者が入力した認証情報やクレジットカード情報はWebSocket通信でリアルタイムに収集され、攻撃者はTelegram経由で通知を受け取り、フィッシングサイト上で被害者に次に見せる内容を手動で切り替えられるとされています。

キットを購入した下流の攻撃者は、緊急性を煽るメッセージや偽サイトへのリンクを使い、認証情報の窃取、デバイスコード認証フロー(本来は入力の難しい機器向けの認証手段)を悪用したトークン取得、盗んだ決済情報による不正購入や金融詐欺を行っていたとされています。2026年1月以降、ネットワーク全体で送信されたフィッシングメール・SMSは10億通を超え、送信先の組織は7万5千以上。対象分野は医療、金融サービス、卸売、IT分野で、対象国には日本、米国、オーストラリア、インドが含まれます。攻撃者は決済に暗号資産(USDT、Ethereumなど)を使っており、資金の追跡を難しくしているとMicrosoftは説明しています。

なぜ重要なのか

今回の調査が示すのは、フィッシングが個人の技術力に頼る犯罪から、分業化・商品化された「犯罪のサービス化」へ移行している実態です。初期アクセスの調達、キットの開発・販売、実際の詐欺実行という3つの役割が別々の業者に分かれており、技術力の低い攻撃者でも、料金を払うだけで高度なフィッシング基盤を利用できる構造になっています。

また、SharePoint・OneDrive・Cloudflareといった正規のクラウドサービスをインフラとして転用している点も重要です。これらは企業が日常的に利用する信頼されたサービスであるため、通信先として検知されにくく、フィルタリングをすり抜けやすいという問題があります。正規サービスの看板を借りられると、見分ける側はたまったものではない。

さらに、決済手段として暗号資産を使うことで、資金の流れを追跡しづらくしている点も、法執行機関にとっての課題です。Microsoftは法執行機関やパートナー(研究パートナーのResecurityを含む)と連携し、DCUが主要開発者とインフラに対する活動妨害を支援したとしていますが、同社自身も「この問題はMicrosoftのサービスに限らず、他のプロバイダーにも及ぶ」「特定業界を狙うものではなく、どの組織でも起こり得る」と注記しています。

私たちへの影響

一般の利用者に対してMicrosoftが挙げている助言は次のとおりです。通行料・罰金・再認証など、緊急性や期限を強調するメッセージには警戒すること。メールやSMS内のリンクからサインインせず、正規の公式アプリや公式サイトから直接確認すること。不審な場合は、記載された連絡先ではなく、自分で調べた公式の電話番号に確認すること。身に覚えのないサインイン要求は拒否し、サインイン画面に表示されるアプリ名を確認すること。個人情報をSNSなどで公開しすぎないこと。迷惑なSMSやメールは、キャリアやサービスの窓口に報告すること、です。

企業向けには、より具体的な対策が示されています。パスワードレス認証(パスキーぱすきー)の導入と、多要素認証たようそにんしょう(MFA)の全体適用。特権アカウントには、フィッシングに強いタイプのMFAを求めること。サインインのリスクを評価する条件付きアクセスを使い、MFAやパスキーの登録は信頼できる場所・端末に限定すること。最小権限さいしょうけんげんとゼロトラスト(常に検証する考え方)の原則を適用し、グローバル管理者の役割を厳しく管理すること。Exchange Online ProtectionやDefender for Office 365の推奨設定を確認し、Safe Linksを社内宛てメールにも適用すること。悪意あるドメインへのアクセスを防ぐネットワーク保護を有効にすること。従業員向けのフィッシング教育と、不審な活動を報告できる体制を整えることです。

初心者が知っておくべきこと

「初期アクセスブローカー」とは、他人のアカウントやシステムへ不正に侵入した状態そのものを、別の攻撃者に売る業者のことです。盗んだ情報を使って実際に詐欺を働くのではなく、「侵入済みの入口」を商品として扱う点が特徴です。「フィッシングキット」とは、偽のログインページや詐欺サイトをすぐに作れるよう、あらかじめ用意されたプログラム一式のことです。

Q. 自分の会社がMicrosoft 365やGoogle Cloudを使っていたら対象になりますか。 A. Microsoft 365やGoogle Cloudを使うだけで、特に狙われやすくなるとは公式資料は述べていません。失効・過去使用の組織番号や.edu・.org環境は、YAM Storeが取得・再販するインフラの属性です。下流のフィッシングでは医療・金融・卸売・IT分野の組織が送信先に含まれますが、Microsoftは業種を問わずどの組織でも影響を受け得るとしています。

Q. 不審なサインイン要求が届いたらどうすればよいですか。 A. Microsoftは、身に覚えのないサインイン要求は拒否し、サインイン画面に表示されるアプリ名を確認するよう勧めています。リンクから直接サインインせず、公式アプリや公式サイトから改めて確認することも有効だとしています。

IT Postの見方――犯罪にまで「業界標準」ができる時代

IT Postは、今回の調査が示す「犯罪のサービス化」を、単発の事件以上に厄介な構造だと見る。開発担当・卸売担当・実行担当がきれいに分業されたビジネスモデルは、一社をつぶしても別の業者がすぐ穴を埋められる仕組みでもある。法執行機関などが主要な開発者とインフラの活動を妨害しても、同じ市場構造が残っている限り、次のブランドが名前を変えて現れるだけだろう。

もう一つ見過ごせないのが、SharePointやOneDriveといった「普段から信頼しているサービス」が、そのまま攻撃の運び屋にされている点だ。利用者からすれば、見慣れたサービス名が表示されている時点で警戒心が緩むのは当然であり、この「信頼の横取り」こそが今回の手口の一番の狡猾さだとIT Postでは考える。企業に求められる対策の多くが、パスキーや多要素認証、権限の最小化といった「地道な設定の積み重ね」である点も象徴的だ。派手な新技術よりも、基本設定をどれだけ徹底できるかが、結局は被害の有無を分けるという、身も蓋もない現実がここにも表れている。※個人の感想です

今後どうなりそうか

Microsoftは、法執行機関や各国のパートナーと協力し、主要な開発者とインフラの活動妨害を支援したとしていますが、同種のキットが別ブランドで再登場する可能性や、他のクラウド事業者への影響範囲については、公式発表の時点で明らかにされていません。IT Postでは、関連する続報が確認され次第、あらためて取り上げます。