Microsoftは、フィッシングサービスの統合市場として機能する中国語圏の犯罪エコシステムを明らかにした。このエコシステムは、フィッシングキットの開発者、インフラストラクチャーの販売業者、そしてこれらのサービスを購入して大規模なキャンペーンを実施する攻撃者を結び付けている。同社によると、このエコシステムに関連する組織は、2026年1月以降、世界中の7万5,000を超える組織に対して、10億通を超える電子メールおよびテキストメッセージの送信を可能にした。
キャンペーンは医療、金融サービス、卸売流通、情報技術の各分野の組織を標的とし、日本、米国、オーストラリア、インドで被害者が確認された。法執行機関やその他のパートナーと協力し、Microsoftのデジタル犯罪対策部門は、エコシステムの主要な開発者と中核インフラストラクチャーの無力化を支援した。
アクセスとインフラストラクチャーを販売する市場
Microsoftは、Storm-3119という名称で追跡している違法市場を確認した。この市場は、YAM Storeの名称で初期アクセスブローカーのモデルに基づいて運営されている。市場では、侵害された、または不正に取得されたMicrosoftおよびGoogleの環境が販売されており、実在または過去に存在した組織に関連しているように見えるアカウント、ライセンス、ストレージ、ドメインなどが含まれる。
調査によると、運営者は悪用可能なクラウド環境を特定するために自動化ツールを使用し、その後、Microsoft 365およびAzure for Educationのテナントを乗っ取り、PHP、Java/Spring、Cloudflare Workersの技術で構築されたダッシュボードを通じて管理している。このアクセスにより、パスワードのリセット、教育用ライセンスの割り当て、特権の付与が可能となり、さらにSharePointとOneDriveを販売可能なホスティングリソースへと転用できる。
このエコシステムは、Cloudflareを通じたドメイン管理、SSL証明書、サイトのルーティングも提供し、Alipay、WeChat Pay、USDTによる支払いを受け付ける自動化インターフェースを通じてリソースを販売している。Microsoftは、運営者が新たなテナントを取得するため、架空の組織や支援サイトも作成していたと指摘した。AIが生成したコンテンツや偽造文書が使用された可能性もある。
サービスとして機能するフィッシングキット
Microsoftは、YAM Storeを通じて販売されている3種類のフィッシングキットを特定した。CoGUI（NXまたはFAとしても知られる）、Haozi（Phoenixとしても知られる）、Iron Man Systemである。同社は、これらのキットの開発者と関連活動をStorm-2990という名称で追跡している。
Iron Man Systemには、139か国以上を対象とする2,335個を超えるテンプレートが含まれており、政府、金融、医療、警察、運輸、小売に関連するブランドや組織を装う。プラットフォームは、地理的位置に基づくコンテンツ制限、偽のCAPTCHAページ、IPアドレスのブロックリストと許可リスト、検知を回避するための設定に対応している。
また、被害者がログイン情報、カード情報、認証コードを入力すると、プラットフォームはTelegramを通じてリアルタイム通知を送信する。キットはWebSocketを介してデータを収集するため、運営者は被害者の操作を追跡し、次の段階を手動で制御できる。Microsoftによると、こうした機能により、これらのキットは単一の攻撃者が使用する個別のツールというより、マルチテナント型の商用フィッシング製品に近いものとなっている。
実際に何が変わるのか
今回の調査結果は、現代のフィッシングが分散型のサービス経済に依存していることを示している。ある組織がアカウントとストレージを提供し、別の組織がテンプレートを開発し、購入者が最終的なキャンペーンを実行する。この分業により、経験の浅い攻撃者にとっての参入障壁が下がり、正規のクラウド環境の悪用が、単一のキャンペーンに結び付けることが困難な犯罪サプライチェーンの一部となっている。
Microsoftは、その後の活動に、認証情報の窃取、デバイスコードフローを介してアクセストークンを取得するフィッシング、盗まれた決済情報を利用した金融詐欺が含まれていたと指摘した。そのため同社は、緊急性を示す兆候や予期しないリンクについてユーザーを訓練し、フィッシング耐性のある多要素認証またはパスキーを導入し、最小権限とZero Trustの原則に従ってGlobal Administratorの権限を制限するよう組織に推奨している。
その他の対策には、Exchange Online ProtectionとMicrosoft Defender for Office 365の設定の見直し、内部の受信者に対するSafe Linksの有効化、信頼できる場所とデバイスに認証手段の登録を限定すること、悪意のあるドメインやコンテンツへのアクセスを防ぐネットワーク保護の有効化が含まれる。なお、報告書に記載された数値と評価はMicrosoftの監視に基づくものであり、詳細な法的措置の範囲や無力化が継続した期間について、情報源は明らかにしていない。