米マイクロソフトやJC3など、10億件超の詐欺メッセージに関与した3大フィッシングキットを共同解体

要点

• 米マイクロソフト、Health-ISAC、日本サイバー犯罪対策センター（JC3）、および複数の民間セキュリティ企業が、大規模なフィッシング詐欺に利用されていた3つのツール群を解体した。

• 標的となったフィッシングキットは「CoGUI」「Haozi」「Iron Man System」の3種で、2026年1月以降に全世界で10億件以上の詐欺メールやSMS送信を仲介していた。

• 日本を標的としたサイバー攻撃の調査が作戦の発端となっており、AmazonやPayPay、楽天など日本の著名ブランドを騙る手口が確認されていた。

• 侵害された正規のクラウド環境やストレージを再販する不正闇市場「YAM Store」と連携し、高度に自動化された分業体制で数千万ドルの不正収益を上げていた。

• 米マイクロソフトと医療情報共有分析センターのHealth-ISACは、日本サイバー犯罪対策センター（JC3）や民間セキュリティ企業連合と連携し、世界中で悪用されていた3つの主要フィッシングキットを解体したと発表しました。裁判所の許可を得て実施されたこの法的作戦により、サイバー犯罪エコシステムの基盤となっていた悪質なツール群の活動が阻止されました。一連のツールは、2026年1月からの期間だけで世界中の7万5000以上の組織に向けて10億件を超える詐欺メッセージを送信するために使われていたことが明らかになっています。

日本での攻撃調査が契機となった国際共同テイクダウン作戦

今回のテイクダウン（不正なインフラやサービスの強制停止措置）作戦は、マイクロソフトの脅威インテリジェンス部門およびデジタル犯罪捜査ユニット（DCU）が中心となり、JC3やHealth-ISACのほか、米プルーフポイント、米クラウドフレア、米オラクル、レセキュリティ、TRM Labsなどの民間企業が参加して実施されました。

マイクロソフトによれば、この作戦の端緒となったのは2025年後半に日本国内の利用者を標的とした不審なメッセージの拡散が通報されたことでした。同社が調査を開始したところ、背後に国際的なサイバー犯罪ネットワークが存在することが判明し、司法当局の許可を得たインフラの差し押さえへと発展したと説明されています。

150カ国以上で被害、数千万ドルに及ぶ不正収益の実態

解体の対象となったのは、「CoGUI（別名：NX、FA）」「Haozi（別名：Phoenix）」「Iron Man System」と呼ばれる3つのフィッシングキット（偽のログイン画面などを容易に作成・運用できる攻撃用ソフトウェア一式）です。Health-ISACによると、これらのキットを用いた攻撃は150カ国以上の消費者、医療機関、金融機関、一般企業を標的にしており、運営者らに数千万ドル（数十億円規模）の利益をもたらしていたといいます。

攻撃者が標的とした主な産業分野は、日本、米国、オーストラリア、インドなどの医療、金融サービス、卸売流通、IT業界でした。攻撃者はこれらのツールを用いて、各国の政府機関、金融機関、物流事業者になりすました偽サイトを作成し、ログイン資格情報や財務データを組織的に窃取していたと報告されています。

中国語圏のサイバー犯罪網とPhaaSモデルの分業構造

調査の結果、これらの活動の背後には、フィッシングキットの開発者、攻撃の実行者、そして侵入基盤を販売する仲介者が緊密に結びついた中国語圏のサイバー犯罪エコシステムが存在することが判明しました。マイクロソフトは、3つのフィッシングキットを開発した脅威グループを「Storm-2990」、インフラの調達や仲介を担う闇市場を「Storm-3119」としてそれぞれ追跡しています。

分析によると、摘発された3つのキットは機能や基盤設備に多くの共通点があり、同一の起源を持つコードの再利用や、開発者間での密接な共同作業が行われていた形跡が見られます。これらはPhaaS（Phishing-as-a-Service：フィッシング詐欺基盤をサービスとして提供する形態）として流通しており、専門的な技術を持たない攻撃者でも容易に大規模なブランド偽装詐欺を実行できる環境を提供していました。

不正マーケットプレイス「YAM Store」によるクラウド悪用と自動化

この犯罪エコシステムにおいて中核的な役割を果たしていたのが、「YAM Store」と呼ばれる不正マーケットプレイス兼IAB（初期アクセスブローカー：侵入先のネットワークやクラウドアカウントを販売する業者）でした。YAM Storeは2026年6月以降、従来のCoGUIやHaoziに加えてIron Man Systemの取り扱いを開始し、決済手段にはテザー（USDT）やイーサリアムといった暗号資産を採用して取引の追跡を困難にしていました。

Storm-3119は、正規の組織が利用していた失効済み環境や、侵害された米マイクロソフトや米グーグルのクラウド環境を不正に調達し、以下のような高度な自動化手法で転売していました。

• 匿名通信網Torを介して自動偵察を行い、期限切れの環境名やMicrosoft 365テナントを探索・特定
• 乗っ取った環境をPHP、Java/Spring、Cloudflare Workersで構築した専用の管理パネルから制御
• テナント内のMicrosoft Graph（各種サービスを連携させるAPI）やSharePointの完全な制御権を取得
• 被害組織のSharePointやOneDriveを大容量ホスティング領域として悪用し、不正ストレージとして商品化
• 自動化されたオンラインストアを通じ、奪取したアカウント、正規ライセンス、ストレージを他の犯罪者へ再販

日本国内の主要ブランドを狙い続けた「CoGUI」

今回停止されたキットのうち、CoGUIは日本を標的とした攻撃で特に多用されていました。米プルーフポイントが2025年5月に公開した詳細情報によると、このキットは少なくとも2024年10月から実戦投入されており、Amazon、PayPay、MyJCB、Apple、オリコ、楽天といった日本の著名な消費・金融ブランドを装う手口が確認されていました。さらに、CoGUIからは「CoAceV」および「CoFish_Ws」と呼ばれる派生版も登場していたことが確認されています。

今回の作戦により、世界中で10億件規模の詐欺メッセージ送信を可能にしていた中核インフラとツールの流通経路に大きな打撃が与えられた形です。