📡 Signal｜マイクロソフト、警察庁の通報を起点にフィッシング基盤を停止

警察庁は10月15日、マイクロソフトと日本サイバー犯罪対策センター (JC3) と連携して実態を調べてきたフィッシングの犯罪インフラが、マイクロソフトなどの米国での民事訴訟によってテイクダウン (停止) されたと発表した。マイクロソフトなどが10月6日に米国の裁判所へ訴えを起こし、8日に出た命令に基づいて停止を実行した。

マイクロソフト・JC3と連携した犯罪インフラのテイクダウンについて (警察庁・2026年10月15日／2025年10月からの実態解明、10月6日の訴訟提起、8日の命令とテイクダウン、連携の経緯を確認)警察庁

マイクロソフトによると、止めたのは YAM Store・CoGUI・Iron Man の三つのサービスで、1月以降に10億通を超える詐欺のメールや SMS を支えていた。運営者を日本の警察が直接摘発しにくい国際的な詐欺の基盤に対し、日本の捜査情報を米国の民事の手続きに乗せて、詐欺の道具の供給側を止めた。

詐欺の道具を売る3つのサービス

マイクロソフトのデジタル犯罪対策部門 (DCU) の発表は、三つのサービスを中国語圏の犯罪の市場の一部と位置づけている。それぞれの役割は次のとおりだ。

• YAM Store — 不正に作ったマイクロソフトや Google のアカウントなど、詐欺に使う道具を売る店。マイクロソフトはこの店に関わる2万超のアカウントを無効にした
• CoGUI — 有名ブランドをまねた偽サイトとメッセージを一式で提供するフィッシングキット。日本と米国の被害者に対して多く使われた
• Iron Man — 2026年半ばまでに CoGUI の後を継いだキット。銀行・小売・医療・交通・警察・政府機関などを装う2,335超のテンプレートを持ち、139超の国を対象にしていた

1月以降の規模は、10億通を超えるメッセージ、世界の7万5,000超の組織、150超の国に及ぶ。マイクロソフトの顧客を狙ったものだけで7億5,000万通を超えた。マイクロソフトは、なりすましと詐欺に使われた10万超のドメインも遮断している。

偽サイトの側は、入力されたパスワードやカード情報、確認コードを運営者にリアルタイムで通知する機能を持っていた。マイクロソフトのセキュリティ部門は、利用者がだまされて認証を通すと、その後の攻撃者が認証の鍵 (トークン) を手に入れられる手口も挙げている。

日本の警察が出した端緒

警察庁によると、関東管区警察局のサイバー特別捜査部が2025年10月から、マイクロソフトと JC3 とともに、日本を狙ったフィッシングの実態解明を進めてきた。マイクロソフトの発表も、警察庁が2025年後半に日本の人々を狙う大量のメッセージの存在をマイクロソフトに知らせ、その後も情報と捜査の支援を続けたと書いている。JC3 は、130超の会員組織からの情報で、日本の組織と消費者への影響の大きさを確かめた。

両者の連携には積み上げがある。警察庁の資料は、インド当局と共同で行ったサポート詐欺の捜査 (2025年5月に摘発) を連携が深まったきっかけとして挙げる。2026年4月には米マイクロソフトの副会長兼社長が来日して首相を表敬訪問し、日本の警察と連携したサイバーセキュリティの強化を表明した。9月には日本マイクロソフトと連携協定を結んでいる。

停止の命令を出したのは、米フロリダ州南部地区の連邦地方裁判所だ。医療分野の情報共有団体 Health-ISAC が共同の申立人になり、Cloudflare、Proofpoint、ブロックチェーン分析の TRM Labs、米シークレットサービスなども協力先に名を連ねる。

支払いは USDT と ETH

マイクロソフトのセキュリティ部門の分析によると、YAM Store と関連するキットの業者は、暗号資産での支払いを受け付けていた。挙げられているのは USDT とイーサリアムで、店頭の支払い手段には Alipay、WeChat Pay と並んで TRC20 規格の USDT (TRON 上のテザー) が載っていた。マイクロソフトは、運営者がこのサービスで数千万ドルを得たとしている。

ステーブルコインは送金の速さと手数料の安さで国境を越えた支払いに広く使われ、同じ性質が犯罪のサービスの代金の受け取りにも使われる。一方で、ブロックチェーン上の送金は記録が残る。協力先にブロックチェーン分析の会社が入っていることは、代金の流れが追跡の材料になりうることを示している。

ただし、今回の手続きは民事で、運営者の名前や所在は公表されていない。マイクロソフトは YAM Store の運営者を Storm-3119、キットの開発者を Storm-2990 という識別名で呼ぶにとどまる。ドメインは取り直せるため、停止がそのまま市場の消滅を意味するわけではない。

次に見るもの

確認できる次の一点は、米フロリダ州南部地区連邦地裁の事件記録だ。命令の範囲が広がるか、運営者の特定に進むかがここに出る。

利用者の側では、マイクロソフトはパスワードを使わないパスキーと、だまされにくい多要素認証への切り替えを勧めている。確認コードの入力を求める偽サイトに対しては、コードを入れる前にアドレスを確かめることが最初の防御になる。

ことば

• テイクダウン — 犯罪に使われているサイトやサーバー、ドメインを停止・差し押さえて使えなくすること。今回は米国の裁判所の命令に基づき、ドメインを差し押さえて別の行き先に付け替えた。
• フィッシングキット — 偽のログイン画面や詐欺メッセージの雛形を一式にした、詐欺の道具のパッケージ。月額などで売られ、技術を持たない者でも詐欺を始められる。
• TRC20 — ブロックチェーン TRON の上でトークンを発行する規格。この規格のテザー (USDT) は手数料の安さから送金に広く使われている。

🔗 一次ソース

• マイクロソフト・JC3と連携した犯罪インフラのテイクダウンについて (警察庁・2026年10月15日／2025年10月からの実態解明、10月6日の訴訟提起、8日の命令とテイクダウン、連携の経緯を確認)警察庁
• 広報資料 (警察庁・PDF)npa.go.jp
• Disrupting the service economy behind transnational cybercrime operations (Microsoft On the Issues・2026年10月14日／3サービス、10億通超・7万5,000超の組織・150超の国、フロリダ州南部地区連邦地裁の命令、2万超のアカウント無効化、10万超のドメイン遮断、警察庁と JC3 の役割を確認)Microsoft On the Issues
• The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime (Microsoft Security Blog・2026年10月14日／USDT・ETH での支払い、Storm-3119・Storm-2990、2,335超のテンプレート、パスキーの推奨を確認)Microsoft Security Blog