Microsoftは、法執行機関およびサイバーセキュリティ分野のパートナーとともに、10億通を超える悪意あるメッセージの送信を可能にし、150か国で75,000を超える組織を標的にした大規模な犯罪エコシステムを無力化したと発表した。作戦の中心となったのは、YAM Store（Storm-3119としても知られる）と、MicrosoftがStorm-2990の一部としてCoGUI、Haozi、Iron Man Systemの名称で追跡している関連フィッシングプラットフォームだった。
この作戦は、Microsoftと日本の警察庁（NPA）が一連の詐欺活動について開始した捜査を受けて実施された。Microsoftによると、年初以降、7億5,000万通を超えるメッセージが電子メールやテキストメッセージを通じて同社の顧客を標的にしており、多数のキャンペーンで、認証コードを取得することを目的としたデバイスコードフィッシングの手法が使われていた。
単なるキャンペーン群ではなく、フィッシングサービスの市場
捜査により、YAM StoreはMicrosoftとGoogleの環境、アカウント、ライセンス、ストレージ容量を、侵害または詐欺的な方法で取得したうえで販売していたことが明らかになった。運営者は実在する組織に属していた期限切れドメインを悪用し、そのサイトを再構築して稼働中であるように見せかけ、組織の身元を利用してクラウドアカウントを取得していた。
また、人工知能ツールで生成したコンテンツや文書を用いて、架空の組織も構築していた。Microsoftの侵害された環境では、盗まれたアプリケーション認証情報を使ってアカウントやライセンスを管理し、SharePointとOneDriveはフィッシングコンテンツのホスティングに悪用されていた。
多様なテンプレートと分析を妨害する手法
フィッシンググループは、交通違反、未払いの道路料金、配送上の問題、アカウント確認の要求を題材にした誘い文句を提供していた。また、地理位置情報の特定、偽のCAPTCHAページ、IPアドレスのフィルタリングにも対応しており、研究者や防御システムからインフラを隠すことを目的とした手段だった。
CoGUIは米国と日本の被害者を標的にしていたが、2026年半ばまでにIron Manが主要なプラットフォームとなった。同プラットフォームには、銀行、小売店、配送サービス、政府機関になりすます2,300を超えるテンプレートが含まれていた。捜査に参加したResecurityは、公開ビルドおよびコンテナのレジストリを特定し、そこには公開済みの911バージョンと登録済みの8アカウントが含まれていた。さらに、カードデータの取得に関連する商品選択システムも確認された。フィッシングパッケージのカタログは130か国・地域を対象とする2,360パッケージに達し、2026年10月1日まで更新されていた。
実際に何が変わったのか
米国フロリダ州南部地区連邦地方裁判所の命令に基づき、MicrosoftとHealth-ISACはYAM Store、CoGUI、Iron Manを支援していたドメインを押収し、リダイレクトした。また、Microsoftは市場に関連する2万を超えるアカウントを無効化し、なりすましや詐欺に使用されていた10万件のドメインをブロックした。
この作戦は、現代のフィッシングが単独のキャンペーンに依存するのではなく、インフラ、アカウント、テンプレートを販売する拡張可能なサービス市場として機能していることを明らかにしている。しかし、ドメインやアカウントをブロックしたからといって活動が終わったわけではない。Microsoftは、追加のインフラの排除がなお続いていると述べており、まだ発見されていないインフラの規模は依然として未解決の問題である。
捜査には、MicrosoftとNPAに加え、JC3、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsも参加した。Proofpointは2024年末、日本を標的としたキャンペーンをCoGUIグループと継続的に関連付けており、著名な日本企業や国際機関になりすまして認証情報と決済情報を窃取することに重点を置いていた。