Microsoft、10億件の詐欺メッセージを支えた供給者を標的にサイバー犯罪マーケットプレイスを摘発
Microsoftによるサイバー犯罪マーケットプレイスの摘発は、2026年に10億件超の悪意あるメッセージを可能にしたとされる3つのサービスを標的としている。同社とHealth-ISACは10月14日、YAM Store、CoGUI、Iron Manに対して措置を講じた。Microsoftによれば、これらの連携サービスは150カ国超で活動する犯罪者に対し、アカウント、インフラ、なりすまし用テンプレートを提供していた。
今回の措置は、よく見られる通行料金、配送、銀行、アカウント警告を装う詐欺を、組織化された供給網の産物として捉え直すものだ。犯罪者はすべてのキャンペーンを自ら構築する代わりに、クラウドアカウントを購入し、もっともらしいテンプレートを選択し、地域に合わせたフィッシングコンテンツを展開できた。Microsoftによれば、これらのサービスは75,000超の組織を標的にし、運営者に数千万ドルの収益をもたらした。
この作戦は、MicrosoftがRedVDS、Tycoon 2FA、RaccoonO365などの犯罪サービスに対して用いてきた戦略も試すものだ。同社は民事訴訟、プラットフォーム管理、技術的インテリジェンス、民間企業との連携を通じ、供給者を攻撃している。代替インフラが容易に作成できる状況で、著名なベンダー数社を排除することが持続的な圧力につながるかどうかが、より難しい問題となる。
Microsoftのサイバー犯罪マーケットプレイス摘発、連携する3つの供給者を直撃
10月の措置は、単一のフィッシングサイトや犯罪アカウントではなく、実行基盤となる供給チェーンを標的にした。
MicrosoftとHealth-ISACは、フロリダ南部地区連邦地方裁判所から許可を取得した。その後、YAM Store、CoGUI、Iron Manに関連するドメインを差し押さえ、またはリダイレクトした。公開された裁判所の事件通知では、原告としてMicrosoftとHealth-ISACが、被告の一人としてYam Storeの事業名で活動するYang Jianが記載されている。
訴状は、被告らが特定されたドメインを通じてサイバー犯罪組織を運営していたと主張している。Microsoftによれば、その行為には欺罔、コンピューターシステムへの不正アクセス、同社の知的財産権侵害が含まれる。仮差止命令により、訴訟の進行中に影響を受けたインフラを隔離・保全することを目的とした措置が認可された。
この違いは重要だ。民事上の妨害措置は、検察当局が刑事事件を完了する前に、ドメインを排除し、運用上の関係性を明らかにできる。また、捜査当局が管理するインフラへトラフィックを誘導し、被害者を特定したり、関連活動を把握したりする新たな機会を生む可能性もある。ただし、訴状に含まれる主張は、なお司法判断を要する。
Microsoftは、YAM Storeに関連する20,000超のアカウントをすでに無効化したとしている。また、なりすましや詐欺に使われた100,000超のドメインをブロックしたとも報告している。これらの措置は、顧客がマーケットプレイスを通じて購入したとされるリソースを標的にしているため、単に店舗を閉鎖する以上の意味を持つ。
名指しされた3つのサービスは、供給チェーン内で異なる役割を担っていた。YAM Storeは、不正取得されたMicrosoftおよびGoogleのアカウント、ドメイン、ライセンス、クラウド環境を販売していたとされる。CoGUIとIron Manは、認証情報や支払い情報を窃取するためのテンプレートと支援ツールをまとめたフィッシングキットを提供していた。
捜査当局はまた、Phoenixとも呼ばれるHaoziを、YAM Storeを通じて宣伝されていた別のフィッシングキットとして特定した。Microsoftの法的・公開メッセージはYAM Store、CoGUI、Iron Manを中心としている一方、技術報告ではHaoziをより広範なネットワークの一部として説明している。
Microsoftはこのフィッシングキット群を、開発者と関連活動を追跡するための名称であるStorm-2990に帰属させている。YAM Storeについては別途Storm-3119として追跡している。追跡ラベルは、観測されたすべての顧客や運営者が単一の正式組織に属すると主張することなく、捜査担当者が行動を結び付けるために役立つ。
Microsoftによれば、これらのサービスは2026年1月以降、合計で10億件超のフィッシングメールとテキストメッセージを可能にした。うち7億5,000万件超はMicrosoftの顧客を標的とし、より広範な活動は75,000超の組織に及んだ。想定された標的には、消費者、医療提供者、金融機関、小売事業者、公的機関が含まれる。
これらの数値はMicrosoftのテレメトリーとパートナーによる調査に基づくものだ。これは、10億件の侵害が確認されたことではなく、サービスによって可能になったメッセージを示している。この違いは、マーケットプレイスの影響範囲と、排除による即時の効果の双方を判断するうえで不可欠である。
詐欺をパッケージ化した市場が、なりすましの大規模化を容易にした
YAM Storeと関連するフィッシングキットは、インフラ調達を、説得力のある誘導文を作る作業から切り離していたとされる。
典型的なフィッシングキャンペーンには、欺瞞的なメッセージ以上のものが必要となる。運営者には、アカウント、ドメイン、ホスティング、送信能力、被害者リスト、複製サイト、窃取情報を収集する手段が必要だ。各要素は、コスト、遅延、検知されるリスクをもたらす。
サービス経済はこの計算を変える。専門ベンダーが個々の構成要素を構築し、他の犯罪者に販売する。経験の浅い買い手も、すべての能力を内製で開発せずにキャンペーンを組み立てられる。既存の犯罪グループは、標的選定、収益の資金洗浄、不正に得たアクセスの悪用に集中しながら、規模を拡大できる。
YAM Storeは、侵害や詐欺によって取得したアカウントや環境を供給する初期アクセスブローカーとして機能していたとされる。Microsoftによれば、このマーケットプレイスは、サブスクリプション種別、経過年数、組織カテゴリなどの特性別に整理されたMicrosoftおよびGoogleのリソースを提供していた。
一部の商品は、実在組織の放棄されたアイデンティティを悪用していたとされる。運営者は、とりわけ教育機関や非営利セクターで、期限切れドメインや活動していない組織記録を探した。そのうえでウェブサイトを再構築し、本物の過去の情報を使って、組織が活動中であるように見せかけることができた。
この外見は、犯罪者が一見正当なアイデンティティのもとでクラウドサービスやアカウントを取得する助けとなり得る。こうしたリソースは、履歴のない新規登録ドメインよりも高い信頼性を帯びる。また、使い捨て運用の明白な兆候を探す自動チェックを通過する可能性もある。
Microsoftの技術調査は、マーケットプレイスの背後にある5段階のパイプラインを説明している。運営者は、クラウド対応組織を見つけ出し、登録機会を評価するために自動化された偵察を用いていたとしている。その後、取得した環境の管理を一元化してから、再販に向けてリソースを準備した。
CoGUI、Haozi、Iron Manは、ワークフローの別の部分を担っていた。これらのサービスは、認知度のある組織になりすます既製のページやメッセージを提供していた。買い手は、各サイトをゼロから設計することなく、国、業界、ブランドごとにキャンペーンを適応させられた。
Microsoftによれば、Iron Manにアクセスした捜査担当者は2,300超のテンプレートを特定した。このコレクションは、銀行、小売業者、医療提供者、交通当局、警察機関、政府機関を対象としていたとされる。地理的な対象範囲は150カ国超に及んだ。
このライブラリーは、同じ犯罪インフラが、ある日は未払い通行料金のメッセージを、翌日には不在配達の警告を支援できた理由を説明する。買い手は適切な口実を選ぶだけでよかった。供給者は、標的組織を模倣するために必要な視覚デザインと技術的な設定の多くを担っていた。
Iron Manは、犯罪マーケットプレイスがどのように進化するかも示している。Microsoftによれば、CoGUIは日本と米国を標的にしたキャンペーンで広く使われていた。2026年半ばまでに、顧客はYAM Storeの広告に6月から登場したIron Manへと移行する傾向を強めていた。
この移行は、違法市場における競争と製品の入れ替わりを示唆する。あるキットが信頼性を失ったり、認識されやすくなったり、検知に脆弱になったりすれば、顧客は別のキットに移行できる。より新しい製品は、追加のブランド、言語、配信手段を組み込むこともできる。
USDTやEthereumを含む暗号資産による支払いは、従来の金融上の追跡を不明瞭にしつつ、マーケットプレイスのベンダーと顧客を結び付けるのに役立ったとされる。暗号資産は匿名性を保証するものではないが、従来の加盟店アカウントを必要とせずに、迅速な国境を越えた支払いを支える。
結果として生まれたのは、すべての詐欺を生成する単一の自動化マシンではなかった。参加者が不足している構成要素を購入できる、モジュール型の市場だった。Microsoftによるフィッシングマーケットプレイスの妨害は、犯罪者がテンプレートやアカウントを成功した窃取へと転換する前に、こうした商業的なつながりを断つことを目指している。
真の争点は、供給側への執行と迅速な代替の競争にある
Microsoftは、共有された供給者に繰り返し圧力をかけることで、個々のメッセージを追跡するよりも多くのキャンペーンに打撃を与えられると見込んでいる。
従来の防御活動は、多くの場合、悪意あるメールが到着した後に始まる。フィルターがそれをブロックしようとし、ユーザーが報告し、セキュリティチームが影響を受けたアカウントを調査する。このプロセスは引き続き必要だが、被害者に届く直前の地点で各キャンペーンを扱うことになる。
供給側への執行は、より上流に目を向ける。戦略は、多くの無関係な犯罪者が依存しているサービスを探す。その後、捜査担当者は、複数のキャンペーンを可能にするマーケットプレイス、ホスティング層、決済ネットワーク、ドメイン、アカウントを追及できる。
MicrosoftのDigital Crimes Unitは、10年以上にわたりこのアプローチを用いてきた。同社が公開する妨害措置のタイムラインには、ボットネット、フィッシングサービス、マルウェア配布者、不正アカウント販売者、インフラ提供者に対する措置が含まれている。
同社の立場は、異例の可視性をもたらす。Microsoftは、世界中の組織が利用するアイデンティティ、メール、クラウド、エンドポイント、生産性向上サービスを運営している。これらの製品から得られるシグナルは、単一の被害者には見えないつながりを明らかにし得る。
不審なアカウントは、一社からは孤立したものに見えるかもしれない。同じアカウントインフラ、フィッシングテンプレート、管理パターンが、数千のテナントにまたがって現れる可能性がある。Microsoftは、法的権限とアクセス制御の範囲内で、これらのシグナルを比較し、キャンペーンをまたぐ活動を結び付けられる。
Health-ISACは、認証情報窃取や決済詐欺の標的となることが多い医療組織からの情報を加える。業界の情報共有グループは、当初は無関係に見えるインシデントを結び付けられる。また、技術的な指標を、加盟組織が対処できる警告へと変換する助けにもなる。
この調査は、日本の個人や組織に影響を与えた詐欺から始まったと報じられている。Japan Cybercrime Control Centerは、別々のインシデントを、企業や金融機関に関わるより広範なパターンへと結び付けた。Microsoftによれば、その後、日本の警察庁や民間パートナーとの協力を通じて調査は拡大した。
Microsoftによれば、Resecurityは捜査担当者によるIron Manへのアクセスと分析を支援した。Cloudflare、Oracle、Proofpoint、TRM Labsは、作戦の別の部分に関する可視性を提供した。各参加者は、ホスティング、メッセージング、アカウント、ドメイン、資金の流れなど、異なる層を観測している。
これが法執行モデルの主な利点だ。マーケットプレイスは専門業者を結び付けることで成り立つが、そのつながりは観測可能な依存関係も生む。双方向の情報共有により、あるベンダーのアカウントが別のベンダーのテンプレートや、別の顧客が運営するキャンペーンにどのように供給されているかが明らかになる可能性がある。
しかし、中心的な対抗要因は迅速な代替だ。犯罪サービスの提供者は新たなドメインを登録し、販売先をメッセージングアプリへ移し、支払い先アドレスを変更し、別の場所でホスティングを再構築できる。顧客側も、好んで利用していたサービスが消えれば、競合するキットへ乗り換えられる。
Microsoftも、YAM Store、CoGUI、Iron Manはより大きな犯罪経済の一部にすぎないと認めている。この措置は、ビジネスモデルとしてのフィッシングを消し去るものではない。信頼された供給者を排除し、顧客に関係の再構築を迫ることで、摩擦を増やそうとする試みだ。
違法なマーケットプレイスでは、信頼に実際の価値がある。購入者は通常の契約、返金、消費者保護に頼れない。既知の販売チャネル、検証済みのインフラ、確立されたサポートを持つベンダーは、直ちに代替することが難しくなり得る。
したがって、混乱は一時的であっても重要になり得る。顧客はアカウント、ドメイン、テンプレート、保存済みのキャンペーンデータへのアクセスを失う可能性がある。ベンダーは流通網を再構築し、自らの身元を証明し、代替サービスが捜査当局に管理されていないと購入者を納得させなければならない。
この摩擦が持続すれば、作戦の影響はより大きくなる。同じ販売者が新たな名前ですぐに戻る場合や、競合する供給者が問題なく顧客を吸収する場合には、影響は小さくなる。
10億件のメッセージは10億人の被害者を意味しない理由
報告された規模は産業的な到達範囲を示すが、同規模の侵害成功件数を証明するものではない。
Microsoftによれば、この3つのサービスは2026年1月以降、10億件を超える悪意あるメッセージを可能にした。また、これらのメッセージは7万5,000を超える組織を標的にし、運営者は数千万ドルを生み出したとしている。いずれも重大な主張だが、各指標が示すのは活動の異なる側面である。
送信されたメッセージは接触の試みだ。配信前にブロックされ、迷惑メールに振り分けられ、受信者に無視され、あるいは開封されても侵害には至らない可能性がある。メッセージ数は、確認された被害ではなく、キャンペーンの実行能力を測る指標だ。
Microsoftの顧客に向けられた7億5,000万件超のメッセージという数字は、同社が自社環境で把握できる範囲を反映している。他のメールサービスやモバイルネットワークを介した活動をすべて捉えているとは限らない。逆に、Microsoftアカウントに対する7億5,000万件の攻撃成功を意味するものでもない。
標的となった組織数についても注意が必要だ。1つの組織が、多数の従業員、ドメイン、キャンペーンを通じて大量のメッセージを受け取ることがある。複数の顧客が人気のテンプレートを再利用すれば、同じ被害者が繰り返し現れる可能性もある。
金銭に関する主張にも別の課題がある。Microsoftは、これらのサービスが運営者に数千万ドルをもたらしたとしている。発表時点で公開されている資料には、マーケットプレイスの収益、顧客からの支払い、被害者が被った損失を完全に説明する会計情報は含まれていない。
こうした制約があるからといって、この作戦が重要でなくなるわけではない。むしろ、何がなお未検証なのかを示している。証拠は、これらのサービスが多くの国にまたがり、大規模に運営されていたという結論を支持する。一方で、すべてのメッセージを窃取の成功として扱う根拠にはならない。
法的手続きによって、さらなる詳細が明らかになる可能性がある。被告は申し立てを争うことができ、証拠開示では所有権、収益、顧客、インフラに関する記録が明らかになる可能性がある。現在公開されている提出書類は、MicrosoftとHealth-ISACが訴訟を提起し、一時的な救済措置を得たことを示している。
帰属にも別の不確実性がある。Microsoftは、中国語を話す脅威アクターがフィッシングキットを開発したと高い確信度で評価している。その評価は、言語、インフラ、販売チャネル、コードの類似性、重複する活動に基づくものだ。
言語的または技術的な評価は、国籍、物理的な所在地、政府関与を自動的に立証するものではない。Microsoftの報告が示しているのは中国語圏の犯罪エコシステムであり、国家支援型キャンペーンではない。これらのカテゴリーを混同すれば、入手可能な証拠を過大評価することになる。
マーケットプレイスのモジュール型構造は、さらなる帰属上の問題を生む。YAM Storeは、複数の下流の運営者にリソースを供給していたとされる。フィッシングキット開発者、インフラブローカー、キャンペーン運営者、マネーロンダリング業者は、同じグループに属さずとも、一件の詐欺に関与し得る。
この分離は、各参加者が知る必要のある情報を限定するため、犯罪者にとって商業的に有用だ。同時に、法執行も複雑になる。1つの供給者を排除すれば、メッセージを送信した全員や盗まれた資金を受け取った全員を特定せずとも、活動を中断させることはできる。
差し押さえられたインフラが防御面でどれほど有効かも、依然として不明だ。裁判所命令や技術的な設定次第では、リダイレクトされたドメインは、捜査当局が接続試行を観測したり、被害者に警告したりするのに役立つ可能性がある。Microsoftがすべての運用上の詳細を公表していないのは、進行中の捜査では合理的だ。
したがって、組織はこの発表を安全宣言と解釈すべきではない。元の販売ポータルが消えた後も、フィッシングテンプレートは利用可能なままである。以前に販売されたアカウントやドメインも、プロバイダーが特定して無効化しない限り残存する可能性がある。
この措置は、ネットワークの規模や消滅に関する最終判断ではなく、供給に対する測定可能な介入として理解するのが最も適切だ。Microsoftの主張は、同社のテレメトリーと直接的な関与を踏まえ、注目に値する。それでも、利害関係者の報告に適用されるのと同じ慎重な区別が必要である。
通行料金通知と配送アラートが示すマーケットプレイスの到達範囲
この市場で最も効果的な製品は、日常的な行動を認証情報や決済情報の窃取につながる反復可能な機会へ変える。
未払いの通行料金に関するメッセージは、小額でもっともらしい支払い義務に対する緊急性を生む。配達不在通知は、人々が日常的に荷物を受け取るという期待を悪用する。どちらも、送信者が本物か確認する前に受信者の行動を促す。
その先のページでは、カード番号、アカウントのパスワード、セキュリティコード、個人情報が要求される可能性がある。キャンペーン運営者はその後、盗んだデータをアカウント乗っ取り、不正購入、さらなるなりすましに再利用できる。
ビジネスメール詐欺は、より大きな金額を狙う場面で似たパターンをたどる。攻撃者は受信トレイへのアクセスを得るか、信頼された相手を説得力ある形で装う。実在する請求書や送金が予定されている際に、既存のやりとりを調べ、不正な支払い指示を差し込む。
マーケットプレイスは、こうした欺瞞を作るための手間を減らす。テンプレートは見慣れたロゴ、フォーム、ページレイアウトを提供する。不正に入手されたクラウドアカウントは、メッセージを正規サービスに近いものに見せる可能性がある。ローカライズされたドメインやインフラは、単純な所在地ベースのスクリーニングを弱め得る。
医療機関は、メール、ベンダー、決済プロセス、時間に制約のあるコミュニケーションに依存しているため、特に大きな圧力にさらされる。遅延にも独自のコストが伴う臨床業務や管理業務の最中に、緊急の依頼が届く可能性がある。Health-ISACの関与は、そのリスクを反映している。
金融機関、小売業者、学校、非営利団体、交通機関は、それぞれ認知度の高いブランドと大量のやりとりを異なる形で備えている。受信者はすでにパスワード再設定、配送更新、料金通知、予約リマインダー、支払い依頼を想定しているため、犯罪者はそれらを模倣できる。
Iron Manで報告されたテンプレート数は、1つのツールキットがいかに多くのシナリオに対応できるかを示している。2,300を超えるテンプレートがあれば、顧客はキャンペーンのアーキテクチャを再構築せずにブランドを切り替えたり、別の国へ展開したりできる。
自動化はこの柔軟性を高める。YAM Storeは、自動化された偵察によって期限切れのアイデンティティを探し、クラウド環境を評価していたとされる。フィッシング運営者も同様に、自動化ツールを用いてコンテンツを配信し、受信者リストを分類し、どの誘い文句が反応を生むかをテストできる。
防御側は、粗雑な文法や不自然なページデザインをユーザーに見分けさせるだけでは、この問題を解決できない。既製のキットはブランドの外観を忠実に再現でき、侵害されたアカウントは、正当な利用履歴を持つインフラから送信されたようにメッセージを見せられる。
ユーザーは予期しない依頼を引き続き精査すべきだが、組織には一部のメッセージが成功することを前提とした対策が必要だ。米国連邦取引委員会のフィッシングに関するガイダンスは、予期しないメッセージ内のリンクを使うのではなく、既知のWebサイトや電話番号を通じて組織に連絡するよう推奨している。
ビジネス上の支払いでは、検証に別の信頼できるチャネルを使用すべきだ。同じ侵害されたメールスレッド内で返信しても、独立した確認にはならない。銀行口座情報、支払先、承認手順の変更には、追加の確認が必要である。
多要素認証は依然として有用だが、一部のフィッシングキットはセッショントークンを窃取したり、認証をリアルタイムで中継したりしようとする。組織には、条件付きアクセスルール、不審なログインの検知、ドメイン監視、侵害されたセッションを迅速に無効化する手段も必要だ。
技術チームは、この捜査から得られたインテリジェンスを利用して、関連ドメイン、アカウントの挙動、インフラのパターンを検索できる。ただし、指標はすぐに古くなる。ドメインのブロックリストだけでは、代替を生み出すために設計された市場には対処できない。
調達部門とアイデンティティ管理チームにも役割がある。期限切れのドメイン、放棄されたテナント、未使用のクラウドサブスクリプションには、実在する組織のアイデンティティの断片が残り得る。重要なドメインの管理を維持し、未使用の環境を正式に閉鎖することで、なりすましの機会を減らせる。
ナレッジワーカーは、この発表を、詐欺の品質が標準化されつつある証拠として受け止めるべきだ。説得力のあるデザインは、もはや正当性を示す強い証拠ではない。より安全な問いは、その依頼が、受信者がすでに信頼する記録とチャネルを通じて確認された取引と一致しているかどうかである。
圧力が続くかを示す3つのシグナル
Microsoftによるサイバー犯罪マーケットプレイスの摘発が成功したと言えるのは、最初に差し押さえたドメインと無効化したアカウントの波を超えて、運用コストを引き上げられた場合に限られる。
第1のシグナルは、YAM Store、CoGUI、Iron Manが新たなドメインや販売アイデンティティの下で再び現れるかどうかだ。迅速かつ信頼性のある再始動は、この措置が持続的な摩擦を課したという見方を弱める。顧客との紛争やなりすましアカウントを伴う断片的な復帰であれば、供給者が信頼を失ったことを示唆する。
捜査当局とセキュリティプロバイダーは、コード、管理パネル、暗号資産アドレス、アカウント提供方法、テンプレートライブラリの連続性を監視すべきだ。ブランディングは一夜で変えられるが、運用上の習慣はしばしば残る。こうしたつながりは、後継サービスが本当に新しいものなのか、単に名称を変えただけなのかを明らかにできる。
第2のシグナルは、影響を受けたインフラをめぐる活動水準だ。Microsoftは、関連する2万件超のアカウントを無効化し、10万超のなりすましドメインをブロックしたと報告している。関連メッセージ、アカウント悪用、複製ページの持続的な減少が見られれば、同社の供給側戦略を裏付けることになる。
短期的な減少の後に移行が起きれば、異なる意味を持つ。それは、この措置が目に見えるインフラを排除した一方で、顧客需要や代替能力を実質的には減らしていないことを意味する。その結果を測定するには、メールプロバイダー、ホスティング企業、レジストラ、標的となる業界から継続的な報告が必要だ。
3つ目のシグナルは、捜査が追加の法的措置や帰属を伴う結果につながるかどうかだ。ドメインの差し押さえはサービスを中断できるが、逮捕、資産凍結、制裁、判決は運営者により強い圧力をかけ得る。また、インフラ提供事業者が不正利用に関する苦情を通常の事業コストとして扱うことを抑止する可能性もある。
そのプロセスがどこまで及ぶかは、国境を越えた協力によって決まる。この捜査には、日本の当局・組織、米国の民事訴訟、国際的なテクノロジー提供事業者、そして世界規模の医療業界ネットワークが関与した。参加者はいずれも、証拠または執行権限の一部しか持たない。
Health-ISACの脅威情報共有ネットワークも、医療分野の加盟組織を狙う新たなキャンペーンを特定するための経路を提供している。新たなインシデントで同じツールが確認されれば、その情報はパートナーによるブロック設定の調整や、代替インフラの迅速な追跡に役立つ可能性がある。
Microsoftは、その二重の役割について精査を受けることになる。同社は、自社サービスが不正利用されたとされる被害者であり、防御製品を販売するセキュリティ提供事業者でもあり、広範なテレメトリーを持つ調査者でもあり、裁判所命令を求める民事原告でもある。証拠、方法論、測定された成果について透明性を確保することは、他者が同社の主張を評価する助けになる。
より広範な試金石はMicrosoftにとどまらない。Googleアカウントは、YAM Storeの商品の一部だったとされており、なりすましの対象となった多くのブランドは、銀行、小売業者、政府機関、交通事業者に属していた。持続的な圧力を生むには、こうした組織が機微な顧客情報をさらすことなくシグナルを共有する必要がある。
単一の企業だけで、盗まれたアカウントやフィッシングキットへの需要をなくすことはできない。しかし、特定の供給者の信頼性を下げ、悪意あるインフラの寿命を短くし、他の防御側がブロックできるパターンを明らかにすることはできる。
組織にとって実務上の次のステップは、決済の検証、ドメイン管理、ID監視、インシデント報告が、依然として詐欺を孤立した試みとして想定していないかを確認することだ。証拠は、専門化された供給者を持つ反復可能なサービスの存在を示している。セキュリティ対策は、従業員の受信トレイに届く最終メッセージだけでなく、こうした共有の依存関係に沿って設計すべきだ。
今後1〜3か月は、後継となるストアフロント、関連キャンペーンの規模における測定可能な変化、追加の裁判所または法執行機関による措置に注目したい。これらのシグナルは、Microsoftによるフィッシング・マーケットプレイスの妨害が商業ネットワークに打撃を与えたのか、それとも最新のブランドを一時的に中断したにすぎないのかを示すだろう。
