日本発の捜査が世界へ　Microsoftが詐欺基盤3サービスを無力化

Microsoftは2026年10月14日、フィッシングやオンライン詐欺を支えていたとする3つのサービス「YAM Store」「CoGUI」「Iron Man」を無力化する措置を発表しました。きっかけは、2025年末に日本の警察庁から寄せられた、日本国内を狙う詐欺活動についての情報だったといいます。

「詐欺を行うためのサービス」とは

現在のフィッシングは、攻撃者がすべてを一から作るとは限りません。偽サイトのひな型、メッセージ送信、認証情報の取得などを部品として提供するサービスがあり、専門知識が少ない人物でも大規模な詐欺を実行できる状態が生まれています。

Microsoftの発表によると、今回の3サービスには2300以上のなりすまし用テンプレートがありました。2026年1月以降、150以上の国・地域にある7万5000以上の組織を狙い、合計10億通を超える悪意あるメッセージの送信を可能にしたとされています。このうち7億5000万通以上がMicrosoftの利用者を狙ったものだったということです。

日本の情報提供から国際的な遮断へ

調査は警察庁からの連絡を受けて始まり、日本サイバー犯罪対策センター（JC3）や各国の関係機関、民間企業との連携へ広がりました。Microsoftは米フロリダ州南部地区連邦地方裁判所の命令を得て、関連ドメインの差し押さえや転送を実施。2万以上のアカウントを無効にし、10万以上のドメインを遮断したと説明しています。

なお、詐欺用テンプレートに企業や団体の名称・画面が含まれていても、その企業のシステム自体が侵害されたことを意味しません。実在するサービスの外観を模倣し、利用者を偽サイトへ誘導するのが典型的な手口です。

利用者が今すぐできる対策

1. メッセージ内のリンクを急いで開かない。「利用停止」「未払い」など不安をあおる文面ほど、一度立ち止まります。
2. 公式アプリやブックマークから確認する。検索広告にも偽サイトが混ざる場合があるため、普段使う入口を決めておきます。
3. 多要素認証を有効にする。パスワードが漏れた場合の被害を抑えられます。
4. 入力前にドメインを確認する。見慣れたロゴや配色だけでは本物と判断できません。
5. 被害に気づいたら早く連絡する。金融機関、カード会社、サービス提供元へ連絡し、警察の相談窓口も利用します。

Gmailアカウントの作成とセキュリティや商業詐欺の種類と防止策も、日常のアカウント管理と詐欺の基本を確認する参考になります。関連情報は情報セキュリティの記事一覧にまとめています。

今回の対策が注目される理由

一件の偽メールを削除するだけでは、送信元が別のドメインへ移れば攻撃は続きます。今回の対策は、詐欺を繰り返し作れる共通基盤へ焦点を当てました。テンプレート、アカウント、ドメイン、送信機能が集まる場所を止めることで、複数の攻撃者の活動を同時に難しくする狙いがあります。

Microsoftが公表した10億通超という数字は、すべてが受信箱に到達したことや、全員が被害を受けたことを意味しません。「送信を可能にした」とされる規模です。7万5000以上の組織も、侵害が確定した組織数ではなく、標的とされた範囲です。大きな数字ほど定義を確かめ、被害件数と攻撃試行を混同しないことが重要です。

フィッシングが届くまでの流れ

1. 標的の選定：公開情報や流出した連絡先から送信先を集めます。
2. なりすまし画面の準備：金融機関、配送会社、行政機関、クラウドサービスなどを装うページを作ります。
3. メッセージの送信：メール、SMS、SNSのメッセージ、広告などから偽ページへ誘導します。
4. 情報の入力：利用者がID、パスワード、カード番号、確認コードなどを入力します。
5. 不正利用：取得した情報でアカウントへ入り、送金、購入、別の詐欺に使います。

サービス化された犯罪基盤は、この流れの一部または複数を商品として提供します。攻撃者はテンプレートを選び、標的に合わせて文面を変えられます。日本語が自然だから本物、誤字があるから偽物という見分け方は通用しにくくなっています。

ドメインの差し押さえと転送とは

ウェブサイトは、人が読むドメイン名と、実際に通信するサーバーの場所を結び付けて表示されます。裁判所の命令や登録事業者との協力によって、悪用されたドメインの管理先を変更すると、元の運営者が同じ住所で偽サイトを提供できなくなります。アクセスを注意喚起ページや調査用の管理先へ転送する場合もあります。

この方法は有効ですが、犯罪を永久に消す魔法ではありません。運営者が別のドメインや新しいアカウントを取得する可能性があり、押収した基盤以外のサービスも存在します。法的措置、技術的な遮断、アカウント停止、捜査、利用者教育を組み合わせる必要があります。

アカウント停止が果たす役割

詐欺基盤は、正規のクラウドやメール機能を不正に利用することがあります。サービス提供者が利用規約違反を確認し、関連アカウントを止めると、送信やデータ保存、管理画面へのアクセスを断てます。Microsoftは今回、2万以上のアカウントを無効にしたと説明しました。

ただし、アカウントの関連性は調査時点の証拠に基づく判断です。数字だけから個々の所有者や国籍を推測するべきではありません。また、攻撃者が模倣した企業は被害者側であり、その企業の内部システムが破られたとは限りません。

個人向け：怪しいメッセージを受け取ったとき

まだリンクを開いていない場合

メッセージ内の番号へ電話せず、返信もしません。公式アプリ、契約時の書類、カード裏面の番号など、メッセージとは別に保存した入口から事業者へ確認します。迷惑メッセージとして報告し、削除します。

リンクを開いたが入力していない場合

ページを閉じ、ファイルをダウンロードしていないか確認します。ブラウザーや端末を最新の状態にし、不審なアプリやプロファイルが追加されていないかを見ます。ページを開いただけで直ちに全情報が盗まれたと断定する必要はありませんが、端末に警告が出た場合は提供元の案内に従います。

パスワードを入力した場合

本物のサービスへ公式アプリやブックマークから入り、パスワードを変更します。同じパスワードを使い回している別サービスも変更し、可能なら多要素認証を有効にします。ログイン履歴、転送設定、連絡先、復旧用メールアドレスに不審な変更がないか確認します。

カード情報や確認コードを入力した場合

カード会社や金融機関へ直ちに連絡し、利用停止や取引確認を依頼します。利用明細を保存し、身に覚えのない取引を伝えます。警察の相談窓口や消費生活相談も利用できます。確認コードは、相手が「担当者」を名乗っても渡してはいけません。

組織向け：被害を減らす基本対策

• 耐フィッシング性の高い認証：可能な範囲でパスキーやセキュリティキーを導入します。
• メール認証：SPF、DKIM、DMARCを設定し、なりすましの検知と扱いを改善します。
• 最小権限：日常業務のアカウントへ不要な管理権限を与えません。
• 条件付きアクセス：場所、端末、リスクに応じて追加認証や遮断を行います。
• ログの保存：ログイン、メール転送、権限変更の記録を調査できる期間保持します。
• 通報経路：社員が不審なメールを迷わず報告できるボタンや窓口を用意します。
• 送金手順：振込先の変更はメールだけで完結させず、既知の連絡先へ別経路で確認します。

訓練では、クリックした人を責めるだけでは報告が遅れます。「気づいたら早く知らせる」文化を作り、通報後に何が起こるかを明確にします。数分早い報告が、アカウント停止や送金保留につながる場合があります。

多要素認証にも種類がある

多要素認証は重要ですが、SMSのコードや認証アプリの番号を偽ページへ入力させ、直後に本物のサイトへ転送する手口があります。通知を何度も送り、誤って承認させる攻撃もあります。身に覚えのない承認要求は拒否し、パスワードを変更して管理者へ報告します。

可能なら、偽サイトでは利用しにくいパスキーやFIDO方式のセキュリティキーを選びます。導入できない環境でも、認証アプリ、端末の画面ロック、復旧情報の点検を組み合わせることで安全性を高められます。

本物のサイトを確認する具体的な方法

鍵のマークやHTTPSは、通信が暗号化されていることを示しますが、運営者が正規企業であることまでは保証しません。詐欺サイトもHTTPSを使えます。見るべきなのはドメイン全体です。末尾に余分な単語がある、文字が似た別のアルファベットになっている、サブドメイン部分に有名企業名を置いている、といった違いがあります。

スマートフォンではアドレス全体が隠れることがあるため、アドレス欄をタップして確認します。それでも迷う場合はページを閉じ、公式アプリから同じ通知があるかを確認します。「今日中」「数分で停止」など急がせる表現は、確認の時間を奪うために使われます。

このニュースから分かること、分からないこと

分かるのは、Microsoftの発表に基づけば、日本で把握された活動が国際的な調査へつながり、アカウントとドメインに対する具体的な措置が行われたことです。分からないのは、すべての運営者の身元、最終的な被害総額、同じ仕組みを使った攻撃が完全に止まったかどうかです。

発表主体が企業であるため、規模や効果の数字は「Microsoftによると」と出典を付けて読む必要があります。今後、警察や司法機関から追加情報が公表されれば、捜査や法的手続きの範囲がさらに明確になる可能性があります。

よくある質問

Microsoftの利用者だけが狙われたのですか

いいえ。発表では150以上の国・地域にある多数の組織が標的とされ、その中にMicrosoftの利用者を狙う大量のメッセージが含まれていたとされています。

名前を模倣された企業はハッキングされたのですか

模倣されたという事実だけでは、企業のシステム侵害を意味しません。ロゴやログイン画面を外見だけコピーして偽サイトを作ることができます。

2万アカウントと10万ドメインを止めれば安心ですか

大きな妨害効果は期待できますが、別の基盤へ移る可能性があります。利用者と組織の対策は引き続き必要です。

被害相談はどこへすればよいですか

金銭に関わる場合は金融機関やカード会社へ先に連絡し、警察のサイバー犯罪相談窓口、消費者ホットライン、利用したサービスの公式窓口も活用します。緊急性が高い場合は地域の警察へ相談してください。

確認した公式情報

• Microsoft・国際的なサイバー犯罪基盤への対策発表
• 警察庁・フィッシング対策
• IPA・フィッシング詐欺への注意

件数と措置の内容はMicrosoftの2026年10月14日発表に基づきます。