Microsoft、10万通超のフィッシング攻撃を支えた中国語圏のサイバー犯罪ネットワークを停止

Microsoftは2026年10月14日、大規模フィッシング攻撃を支えてきた中国語圏のサイバー犯罪ネットワークを停止したと発表した。攻撃者は2026年1月以降、世界7万5000超の組織に10万通超のフィッシングメールとSMSを送信。日本は米国と並び最も影響を受けた国の一つとなった。

日本ニュース 2026/10/19 01:20

Microsoft、10万通超のフィッシング攻撃を支えた中国語圏のサイバー犯罪ネットワークを停止 — Microsoft、10万通超のフィッシング攻撃支えた犯罪ネットワーク停止

Microsoftは2026年10月14日（現地時間）、大規模フィッシング攻撃を支えてきた中国語圏のサイバー犯罪ネットワークを停止に追い込んだと発表した。同社のサイバー攻撃対策部門Digital Crimes Unit（DCU）が世界各国の法執行機関などと連携し、ネットワークの中核を担う開発者とインフラの活動を停止させた。

攻撃の規模と標的

このネットワークを利用した攻撃者は2026年1月以降、世界7万5000超の組織に10万通超のフィッシングメールとSMSを送信した。標的となったのは日本や米国、オーストラリア、インドの医療、金融サービス、小売、ITの各業界だ。中でも日本は、米国と並んで最も影響を受けた国だった。

フィッシング自体は目新しい手口ではない。しかし、高度な技術を持たない攻撃者までが、なぜ10万通規模の攻撃に関与できたのか。Microsoftは1年にわたる調査で、その背後にある構造を突き止めた。

「作る」から「買う」へ

その答えは、乗っ取ったクラウド環境やフィッシングキットを「商品」として売買する闇マーケットプレイス「YAM Store」を中心とした、分業型の犯罪エコシステムだ。

MicrosoftがStorm-3119の名称で追跡するYAM Storeは、攻撃の足掛かりとなるアカウントやインフラを他の攻撃者に販売する「イニシャルアクセスブローカー」だ。侵害または不正取得したMicrosoftやGoogleのクラウド環境と、関連する認証情報を扱う。教育機関（.edu）や非営利団体（.org）といった環境の種別ごとに品ぞろえし、正規に見えるインフラを低コストで提供する。

5段階のパイプライン

Microsoftの調査によると、Storm-3119は次の5段階のパイプラインで環境を乗っ取り、収益化している。

偵察：Webフレームワークを使った自動偵察で「Microsoft 365」のテナントを特定し、ライセンスやクラウドの情報を匿名で収集する
環境の乗っ取り：盗んだアプリケーションの認証情報を使う管理パネルを通じて、パスワードの無断リセットやライセンス付与など、ディレクトリ全体を制御する
ストレージの悪用：管理者アカウントで自らに広範な権限を付与し、「Microsoft SharePoint」や「Microsoft OneDrive」の記憶領域を大容量ホスティングとして商品化する
フィッシング基盤の提供：フィッシングドメインやSSL証明書、DNS設定を一元管理する専用基盤を顧客向けに運用する
販売：乗っ取ったアカウントやライセンス、ストレージを自動化された店舗で再販する。決済には「Alipay」や「WeChat Pay」のほか暗号資産も使われる

既存環境の乗っ取りに加えて、架空の非営利団体をでっち上げ、Microsoftのプラットフォーム上にテナントを新規作成する手口も確認された。団体の体裁を整えるために、AIで生成したコンテンツや偽造文書を使ったとみられる。

3つのフィッシングキット

YAM Storeと密接に結び付くのが、「CoGUI」「Haozi」「Iron Man System」という3つのフィッシングキットの運営者集団だ。YAM Storeはこれらの運営者集団にインフラを販売するとともに、キット自体の販売窓口にもなっている。Microsoftはこれらの開発者と活動をStorm-2990として追跡する。いずれも中国語話者の攻撃者が開発したとみられ、フィッシングに必要な機能一式を提供する「フィッシング・アズ・ア・サービス」として商用展開されている。

中でもIron Man Systemは2335超のフィッシングテンプレートを備え、139超の国と地域に対応する。政府機関や金融、運送、小売などの正規の組織やブランドをかたるルアー（おとりのメッセージ）を提供し、日本の金融サービス事業者を装ってアカウントの再認証を促す日本語のメールも確認された。標的が入力した認証情報やクレジットカード情報は、メッセージアプリ「Telegram」を通じて攻撃者にリアルタイムで通知される。攻撃者が標的の操作を監視しながら画面の表示内容を変える、対話型のフィッシングも可能だ。

これらのキットを購入した攻撃者による後続の攻撃も確認されている。盗んだ認証情報によるアカウント侵害や、デバイスコード認証の悪用による認証トークンの窃取、盗んだ決済情報を使った高額商品の不正購入などだ。

Microsoftが推奨する防御策

Microsoftは、このエコシステムの悪用対象は同社のサービスに限らず、他のプロバイダーにも及ぶとしている。観測された活動の大半はソーシャルエンジニアリングとフィッシング、アカウントやストレージの乗っ取りで構成され、どの組織でも被害に遭う可能性があるという。

その上で同社は、次の対策を推奨している。

利用者への教育：確認されたルアーの大半は緊急性をあおる定型的な手口に従っていた。メールやSMS内のリンクを使わず、送信元をかたられた組織に直接確認するよう周知する
認証の強化：パスキーなどのパスワードレス認証と多要素認証（MFA）を全社に導入し、特権アカウントにはフィッシング耐性のあるMFAを条件付きアクセスで適用する
最小権限の徹底：グローバル管理者権限の悪用が確認されているため、最小権限とゼロトラストの原則に基づき管理者ロールへのアクセスを制限する

対策の詳細や「Microsoft Defender」での検出項目は、関連リンクのMicrosoftのブログで確認できる。