Microsoftは10月14日、世界150カ国以上の7万5000以上の組織を標的としたサイバー犯罪基盤の解体に向けた取り組みを発表した。警察庁との共同調査により、中国語圏の地下市場「YAM Store」やフィッシングキット「CoGUI」「Haozi」「Iron Man System」などの関連性を特定。Microsoftは関連するアカウント2万件以上を無効化し、不正利用されたドメイン10万件を遮断した。
警察庁との共同調査と世界的な捜査拡大
警察庁は2025年後半以降、Microsoftへの情報提供と捜査支援を継続し、両者は悪質なメッセージキャンペーンの発信源を追跡した。その結果、犯罪者のアカウント、ホスティングサービス、偽のWebサイト、オンラインID作成ツールの購入マーケットプレイスなど、中国語圏を中心に展開されていた大規模なサイバー犯罪基盤の実態が明らかになった。
その後、捜査は世界規模に拡大され、日本サイバー犯罪対策センター（JC3）、Health-ISAC、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsなども調査に協力。犯罪エコシステムを支える犯罪市場を明らかにしたという。
10億件超のフィッシングメッセージを配信
本件調査により、地下インフラ市場「YAM Store（Storm-3119）」と、CoGUI、Haozi、Iron Man Systemの各フィッシングキットとの関連が判明した。これらのキットはStorm-2990として追跡されている。
Microsoftの報告によると、YAM Storeは侵害された、あるいは不正な手段で取得されたMicrosoftやGoogleのアカウント、ライセンス、ストレージを販売していた。運営者は実在する組織の期限切れドメインを取得し、活動を停止した組織が存続しているようにWebサイトを再構築して、クラウドアカウントの取得に利用していた。
YAM Storeでは、CoGUI、Haozi、Iron Man Systemなどのフィッシングキットも販売されていた。2026年中旬ごろからはIron Man Systemの利用が拡大し、世界150カ国以上の銀行、小売業者、医療機関、運輸当局、警察署、政府機関、その他の組織になりすます2300以上のテンプレートを提供した。
アカウント停止とドメイン遮断の措置
Microsoftは、これらのフィッシング基盤から合計で10億回以上の悪意あるメッセージが配信されたと明らかにした。そのうちMicrosoft 365の顧客に対しては、7億5000万回を超える配信が行われたという。
MicrosoftとHealth-ISACは、フロリダ州南部地区連邦地方裁判所の命令を受け、YAM Store、CoGUI、Iron Man Systemを支える基盤インフラの一部ドメインを差し押さえたと発表した。加えてMicrosoftは、YAM Storeに関連するアカウント2万件以上を無効化し、なりすましや詐欺に使われたドメイン10万件を遮断した。
ただし、今回の措置で対象となったのは、世界的なサイバー犯罪ネットワークの一部に過ぎない。Microsoftなどは引き続き調査を進め、関連インフラの停止に取り組むとしている。
