日本の個人や企業に届いた詐欺メッセージを手がかりに、米マイクロソフトと警察庁が突き止めたのは、互いに無関係なフィッシングサイトの寄せ集めではなく、犯罪者がアカウントやドメイン、なりすましツールを購入できる、中国語で運営されるサイバー犯罪サービス網だった。
マイクロソフトによると、「YAM Store」「CoGUI」「Iron Man」の3サービスは2026年1月以降、計10億件を超える悪質なメールやSMSの送信を支え、世界150以上の国・地域にある7万5000を超える組織が標的となった。このうち7億5000万件超は、マイクロソフトの顧客を狙ったものだったという。
マイクロソフトと警察庁は2025年末から、日本の個人や企業を狙った詐欺メッセージの追跡に着手した。警察庁による情報提供や捜査協力を受けて調査は徐々に拡大し、一般財団法人日本サイバー犯罪対策センター（JC3）のほか、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsなどの企業とも連携。一見すると無関係に見えたアカウントやウェブサイト、攻撃インフラのつながりを解き明かしていった。
日本の詐欺メッセージから、国境を越える犯罪サービス網へ
マイクロソフトによると、調査担当者は当初、個別の詐欺キャンペーンを想定していたが、実際に見つかったのは中国語で運営されるサイバー犯罪市場だった。
犯罪者はそこで、アカウントやホスティングサービス、偽サイトやなりすまし用のオンラインIDを作成するためのツールを入手できる。
YAM Storeはオンラインショップのような形態で運営され、不正に取得されたマイクロソフトやGoogleのアカウントのほか、詐欺にそのまま使える既製のツールを販売していた。
CoGUIは、企業や金融機関、行政機関などの信頼できる組織になりすますための、すぐに使えるウェブサイトやメッセージのテンプレートを提供していた。
調査では、2026年半ばまでに新しいツール「Iron Man」が、一部の犯罪市場でCoGUIに取って代わりつつあることも判明した。
こうしたツールを使えば、犯罪者は偽ページを素早く作成し、被害者からパスワードや決済情報、その他の個人情報をだまし取ることができる。
マイクロソフトは、JC3が130を超える会員組織から集まる情報を活用し、ばらばらに見えた事案を結びつけ、日本の企業や金融機関、消費者に影響を及ぼす共通の犯罪パターンの特定に貢献したと説明している。
また、医療分野の情報共有組織Health-ISACが医療機関への影響に関する情報を提供し、ほかのセキュリティー企業やテック企業もインフラや関連情報の分析を支援した。 （関連記事： 日本のサイバー攻撃被害、9カ月で前年通年超え トレンドマイクロ、100億円相当のライセンス支援 ｜ 関連記事をもっと読む ）
サービスを支えるドメインを標的に法的措置
マイクロソフトとHealth-ISACは、米フロリダ州南部地区連邦地裁の命令に基づき、YAM Store、CoGUI、Iron Manの運営を支えるドメインを差し押さえ、アクセス先を切り替えた。
