マイクロソフトはサイバーセキュリティのパートナー企業と連携し、暗号資産での支払いを受け入れ、世界中の数千の組織を標的としていた大規模なフィッシング作戦を混乱に陥れました。この措置により、犯罪者に偽造アカウントや既製のフィッシングツールを提供していた3つのサービス、YAM Store、CoGUI、Iron Manに接続されたインフラが一掃されました。2026年1月以降、このネットワークは150か国以上で10億件を超える悪意あるメッセージを配信可能にしていました。

マイクロソフトは10月14日、世界的な保健セクターの情報共有コミュニティであるHealth-ISACおよび国際法執行機関とともに実施した調査に続き、この作戦を公式ブログ記事で発表しました。同社の推定では、これらのサービスは運営者に数千万ドル規模の収益をもたらしていました。フィッシングメッセージのうち7億5,000万件以上が、具体的にマイクロソフトの顧客を標的としていました。マイクロソフトが示すこの構図、すなわちアカウント、テンプレート、送信ツールを広範な犯罪顧客層に販売するベンダーの存在は、フィッシングキャンペーンを産業規模で実行するための技術的ハードルを下げてきた「サイバー犯罪従事型サービス」モデルを反映しています。

USDT決済がサイバー犯罪活動を支えていた

YAM Storeは、不正に取得されたMicrosoftおよびGoogleのアカウントを販売する地下マーケットプレイスとして機能し、犯罪者はこれらのアカウントを購入してフィッシングメッセージを配信し、正規の組織になりすましていました。このマーケットプレイスは複数の決済手段を受け入おり、その中にはTronネットワーク上でのTetherのUSDTステーブルコインが含まれていました。USDTは米ドルにペッグされたステーブルコイン、すなわち米ドルの価値に連動するよう設計された暗号資産であり、Tronはその送金を処理するブロックチェーンネットワークの一つです。

マイクロソフトの調査では、より広範な犯罪エコシステム全体で、Ethereumに関わる暗号資産決済も確認されました。これらの決済オプションにより、運営者は異なる管轄区域の顧客にフィッシングインフラを販売することができました。

一方、CoGUIとIron Manは、パスワードや金融情報を盗む目的で設計された既製のウェブサイトやメッセージを提供していました。調査官は、銀行、小売業者、政府機関、医療提供者になりすます2,300を超えるIron Manテンプレートを発見しました。この種のキットは被害者を偽のログインページや決済ページへ誘導し、入力された認証情報や金融データが攻撃者に直接渡される仕組みです。

マイクロソフト、ドメインを差し押さえ数千のアカウントを無効化

マイクロソフトとHealth-ISACは、このネットワークを無力化するため、フロリダ南部地区連邦地方裁判所の許可を取得しました。この種の民事裁判所命令は、大規模な壊滅作戦において繰り返し用いられる手段であり、自社ネットワークの外部にあるドメインを差し押さえ、リダイレクトする法的立場を民間企業に与えます。パートナー企業は3つのサービスを支えるドメインを差し押さえてリダイレクトし、インフラへのアクセスを遮断しました。

マイクロソフトはすでにYAM Storeに関連する2万件を超えるアカウントを無効化しており、なりすましやフィッシング攻撃に使用された10万件を超える不正ドメインの遮断も継続しています。

調査は、2025年末に日本当局が現地組織を標的とした不審なメッセージキャンペーンを特定したことをきっかけに開始されました。その後の国際協力により、世界中の詐欺師にサービスを提供する、より広範な犯罪マーケットプレイスが明らかになりました。

暗号資産決済が浮き彫りにする高まるサイバー犯罪リスク

今回の事例は、暗号資産決済が商業的なサイバー犯罪活動を支援しうることを浮き彫りにしています。USDTなどのステーブルコインは便利な国境を越えた送金を可能にするため、正規の企業と犯罪マーケットの双方にとって魅力的です。ただし、本調査では、暗号資産取引がネットワークの収益のすべてを占めていたと認定したわけではなく、壊滅作戦の主な標的はブロックチェーン決済システムそのものではなくフィッシングインフラでした。

マイクロソフトの介入は、大規模なオンライン詐欺を供給するサービスの弱体化を図る重要な取り組みです。それでも、犯罪者が代替インフラや決済手段を探し続けるなか、より広範な脅威は残存しています。マイクロソフトによるアカウント無効化とドメイン遮断は継続中であり、同社、Health-ISAC、または提携法執行機関による今後の公表により、このネットワークの影響範囲に関する公開情報がさらに追加される可能性があります。