Microsoftは2026年10月14日付の発表で、犯罪マーケットプレイス「YAM Store」「CoGUI」「Iron Man」の無力化に向けた措置を明らかにしました。犯罪基盤のドメイン押収に加え、アカウントの無効化やドメインのブロックを実施しています。日本向けの悪意あるメッセージの通報が調査の端緒で、日本サイバー犯罪対策センター(JC3)も被害実態などの情報提供に協力しました。
ドメイン押収とアカウント無効化、解体は継続
MicrosoftとHealth-ISACは、米国フロリダ州南部地区連邦地方裁判所の命令に基づき、犯罪基盤のドメインを押収し、転送先を変更しました。Microsoftはさらに、YAM Store関連の2万件超のアカウントを無効化し、なりすましや詐欺に使われた10万件超のドメインをブロックしました。
ただし、今回の措置で全ての作業が終わったわけではありません。Microsoftは、自社サービス上の犯罪基盤の削除など、解体作業を継続しています。
同社によると、2026年1月以降、3サービスは10億件超の悪意あるメッセージを支えました。標的は世界の7万5000組織超に及び、Microsoftの顧客向けだけでも7億5000万件超あったとしています。
日本向けの通報から調査、偽サイトと不正アカウントを供給
調査は2025年後半、警察庁が日本向けの悪意あるメッセージについて通報したことから始まりました。JC3は警察庁や会員企業と連携し、日本の被害実態などをMicrosoftに提供しました。調査にはResecurity、Cloudflare、Oracleなども協力しています。
Microsoftによると、CoGUIは企業や官公庁を装うサイトやメッセージを供給していました。偽サイトは、パスワードや決済情報などを盗む目的のものでした。こうした偽装によって情報をだまし取る手口が、フィッシングです。
CoGUIは主に日本と米国を狙い、2026年半ばにはIron Manへの移行が進んだとしています。Iron Manには、銀行や官公庁などを装う2300件超のテンプレートがありました。一方、YAM Storeは不正なMicrosoft・Googleアカウントを販売していました。失効したドメインで団体サイトを再現し、Microsoft 365アカウントを不正取得した例も報告されています。
日本での提供についての記載はありませんが、今回の発表は新サービスの提供ではなく、犯罪基盤への対処に関するものです。JC3によると、標的には日本を含む150カ国以上の消費者、医療機関、金融機関、企業が含まれます。
影響する会社・しない会社
- 影響する: 日本で業務を行う企業や医療機関、金融機関です。日本も標的に含まれており、自社への不審なメッセージの到達状況を確認する理由があります。ただし、発表は個々の会社の被害を示すものではありません。
- 影響する: Microsoft・Googleアカウントを業務で使う会社や、団体のドメインを管理する会社です。不正アカウントの販売や、失効ドメインを使った不正取得の事例を踏まえ、アカウントとドメインの両方を確認対象にします。
- 影響しない: 対象外と断定できる契約プラン、製品の版、企業規模の条件は、発表には書かれていません。
- 影響しない: 偽装テンプレートに組織名があることだけでは、その組織のシステム侵害を意味しません。社名の悪用と、自社システムへの侵入は分けて判断する必要があります。
情シスが今日やること
以下は発表で指定された対応期限ではなく、社内確認を進めるための手順案です。発表には具体的な管理画面や操作手順は書かれていません。
- 今日、メール管理担当に受信履歴の確認を依頼します。企業・銀行・官公庁を装う不審なメッセージについて、社員からの報告と照合し、届いた事実と情報を入力した事実を分けて記録します。
- Microsoft・Googleアカウントの管理担当に、不審な認証履歴や利用者からの申告がないか確認を依頼します。疑わしい記録があれば、社内のインシデント対応担当へ共有します。
- ドメインの契約管理画面や契約台帳で、自社が維持すべきドメインと更新状況を確認します。管理者が不明なら、契約担当や委託先に確認を依頼します。
- 社員向けの連絡で、不審なメッセージを受け取った場合の社内報告先を再周知します。経営層や広報には、偽サイトで社名が使われたことだけで侵害と断定しないよう伝え、実際の被害確認と分けて報告します。
