警察庁は、マイクロソフトおよび一般財団法人日本サイバー犯罪対策センター（JC3）などと連携し、日本の利用者を狙った詐欺に関する情報を端緒として、国際的なサイバー犯罪を支える犯罪インフラのテイクダウンに協力した。マイクロソフトは、犯罪支援サービス「YAM Store」「CoGUI」「Iron Man」の運営を支えるドメインの差し押さえや接続先の変更などを実施している。
事案の詳細
警察庁は、日本の利用者を狙う悪意あるメッセージに関する情報をマイクロソフトに提供した。調査は2025年後半に始まり、JC3は警察庁や会員企業と連携して、国内の被害実態などの情報を提供し、犯罪支援サービスの実態解明と無力化に協力した。
マイクロソフトなどの調査で特定されたのは、中国語を利用して運営される国際的な犯罪支援サービス群で、アカウント、攻撃ツール、フィッシングサイトなどを提供していたとされる。対象となったサービスは「YAM Store」「CoGUI」「Iron Man」の3つで、フィッシング詐欺やなりすまし、その他の詐欺を支える基盤として利用されていた。
米国フロリダ州南部地区連邦地方裁判所の命令に基づき、マイクロソフトとHealth-ISACは、3サービスの運営を支えていたドメインを差し押さえ、接続先を変更した。マイクロソフトは、YAM Storeに関連する2万件を超えるアカウントを無効化し、自社サービス上でホストされていた犯罪用インフラを削除するとともに、なりすましや詐欺に使われた10万件を超えるドメインのブロックを進めている。
マイクロソフトの発表によると、YAM Store、CoGUI、Iron Manは2026年1月以降、世界で7万5000以上の組織を標的とする10億件を超える悪意あるメッセージに関与し、そのうち7億5000万件以上がマイクロソフトの顧客を対象としていた。警察庁、JC3、マイクロソフトに加え、Health-ISAC、Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labsなども調査に協力した。
影響と背景
今回の措置は、個別の詐欺行為者だけでなく、フィッシングサイトや不正アカウントなどをサービスとして提供する「犯罪のサービス化」を支える基盤を標的にしたものだ。犯罪インフラを停止することで、詐欺やなりすましに利用されるアカウント、ドメイン、サイトの供給を妨げ、攻撃活動の継続を難しくする狙いがある。
日本の警察機関が提供した国内の被害情報を起点に、海外企業、国際的な非営利団体、国内のサイバー犯罪対策組織などが協力した点も特徴となる。確認された悪意あるメッセージの規模から、影響は日本の個人・法人に限らず、世界各地の組織に及んでいたとみられる。
対策・今後の展望
犯罪インフラのテイクダウン後も、攻撃者が別のドメイン、アカウント、ホスティング環境へ移行する可能性はある。個人・法人は、予期しないメールやメッセージのリンクを開かず、ログイン情報や支払いを求める連絡について、公式サイトや登録済みの連絡先など別経路で確認する必要がある。
企業では、多要素認証の導入、メールやWebアクセスの監視、フィッシング報告機能の整備、従業員への訓練を進めるとともに、不審な連絡を受けた際の相談・通報手順を明文化しておくことが有効だ。関係機関やサービス事業者の注意喚起を継続的に確認し、被害が疑われる場合は、アカウントの遮断、認証情報の変更、ログの保全、関係機関への相談を速やかに行いたい。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、フィッシングメールや誘導ページへのアクセスにつながる兆候がアラートとして検知される場面がある。診断では、不審な連絡を受けた際の社内確認ルールが曖昧で、担当者個人の判断に依存しているケースも確認される。
【観点②：セキュリティ専門家でない人への平易な解説】犯罪支援サービスは、詐欺を行うためのアカウントや偽サイト、攻撃ツールなどを提供する「犯罪の道具屋」のようなものだ。そこを止めることで詐欺の準備や実行を難しくできるが、受け手側でも怪しいリンクを開かず、別の連絡手段で確認する仕組みが必要になる。
【観点③：中小企業が今週中にできること】まず、不審な連絡を受けた際の相談先（総務、情シス、上長など）と連絡手順を1枚にまとめて共有する。次に、外部から支払いやアカウント操作を求められた場合は、メールの返信や記載された電話番号を使わず、公式に登録された別経路で本人確認する運用を徹底する。加えて、多要素認証が未導入の重要アカウントを洗い出し、導入計画を作成する。最後に、関係機関や利用中のクラウドサービス事業者による発表を確認し、社内周知の文面を準備しておく。