Microsoft、12,000件の受信トレイに関連するAI支援型フィッシングサービス「EvilTokens」を解体

2026年9月22日、Microsoftは、10,000を超える組織にまたがる12,000以上もの侵害されたメール受信箱に関連するフィッシング・アズ・ア・サービス型プラットフォーム「EvilTokens」を解体したと発表した。2026年2月の開始後、被害者は米国、カナダ、英国、オーストラリア、インド、フランスに集中し、Microsoftの正規のサインインページにワンタイムコードを入力するようだまされて、パスワードを渡すことなくメールへのアクセスを攻撃者に許してしまった。このサービスの中心にあったのは、盗まれた受信箱を読み、誰が支払いを承認するか、誰になりすます価値があるかを見極め、フォローアップメッセージの下書きを作成するAIアシスタントだった。Microsoftのデジタル犯罪対策ユニットはバージニア州で裁判所の許可を取得し、50のウェブサイトを押収し、150以上のドメインを無効化した。英国警察は9月11日に男2人を逮捕した。この摘発に関するアーカイブの完全な記録は、その評価と引用元とともにAIインシデントアーカイブこのシリーズの他の項目とともに収められている。

プラットフォームと、それが産業化したサインインの仕掛け

EvilTokensはパスワードを必要としなかった。悪用したのはOAuthのデバイス認可フロー、つまりキーボードやブラウザを持たないデバイス——スマートテレビ、プリンター、会議用ユニット、Microsoft Teamsルーム——でのサインインを支える仕組みである。このフローは一方のデバイスに短いコードを表示し、ユーザーに別のデバイス上のブラウザセッションでそのコードを入力するよう求める。MicrosoftのSecurity Blogは、その分離こそが弱点である理由を説明している。フローを開始した者こそが、最終的に認証される当事者になるのだ。

Microsoftの脅威インテリジェンスチームが説明する一連の攻撃では、請求書やファイル共有の通知など、圧力をかける内容のメールが攻撃者のページへ誘導する。そのページ上のバックグラウンドスクリプトがMicrosoftのIDプロバイダーとリアルタイムで通信して有効なデバイスコードを生成し、「Microsoftで続行」リンクの隣にコピーボタン付きで表示する。このリンクは本物のmicrosoft.com/deviceloginポータルへつながる。被害者が認証している間、スクリプトはコードの有効期間である15分間、3～5秒ごとに攻撃者自身のサーバー上の/stateエンドポイントをポーリングし、ログインが成立したかどうかを待ち続ける。既存のセッションがあるブラウザーならこの手順を数秒で完了できるため、コードは多くの場合クリップボードにコピーされ、そのまま貼り付けられる。被害者のパスワードが攻撃者の管理下にある何かに入力されることはなく、パスワードリセットで起きたことが取り消されることもない。「関連するセッションとトークンも同時に失効させなければ、パスワードリセット後もそのアクセスは存続する可能性がある」と、Microsoftのデジタル犯罪対策ユニットのアソシエイト・ジェネラル・カウンセル兼ジェネラル・マネージャーであるスティーブン・マサダ氏は同ユニットの投稿に記した。

プラットフォームがもたらしたのは再現性だった。マイクロソフトによると、EvilTokensは44種類の異なるフィッシングテーマと一連のテンプレートおよびランディングページを提供し、同社がStorm-2992として追跡するアクターはTelegram上でこのキットを宣伝、販売、更新、サポートしていた。Security Blogが報じた2026年4月のキャンペーンでは、自動化プラットフォームを用いて、Node.jsのバックエンドロジックを備えた独自の短命ポーリングノードを数千個立ち上げた。これは署名ベースの検出を正面から破ることを狙った設計だ。マイクロソフトは、建設入札の提案書やパスワード期限切れ通知など、流通しているテーマに関する観察についてHuntressの功績を挙げている。Security Blogは、侵害後、一部のオペレーターは持続的なアクセスを得るためにPrimary Refresh Tokenを取得すべく10分以内に新しいデバイスを登録した一方、他の者は受信トレイのルールを作成しメールを窃取するまでに数時間待ったと指摘している。

AIがメールボックス内で行ったこと

AIに関するマイクロソフト自身の説明は、「攻撃チェーンのあらゆる段階でAIを使用した」という見出しのフレーズよりも具体的であり、注意深く読む価値がある。デジタル犯罪対策ユニットによると、このサービスの中心にあったのは「被害者の受信トレイを分析し、犯罪者が信頼関係、支払い承認、機密性の高い職責、さらには詐欺が最も成功しやすいその他の状況を特定するのを支援できる、AI風のチャットボット」だった。それはメールを要約・翻訳し、財務関連の会話を浮かび上がらせ、組織内の役割を把握し、標的を推薦することができた。事前設定されたプロンプトを使えば、加入者は電信送金に関するやり取りを検索し、組織の「資金を動かす人々」を見つけ、ベンダーの請求書を特定し、なりすますのに最適な人物を順位付けできた。また、信頼できる連絡先になりすましたメッセージを起草することもできた。

それは分析と起草であり、自律性ではない。システムは、運用者がすでに窃取した内容を読み取り、順位付けし、次の手を提案した。送信するかどうかは有料顧客が選んだ。ここで検討した資料のいずれも、EvilTokens が人間の加入者なしに誘い文（ルアー）を構成して送信したり、自ら資金を移動させたりすることを記述していない。Microsoft と Health-ISAC が提起した訴状は、この計画を「人工知能エージェントのエンドツーエンド展開によって支えられた高度なビジネスメール詐欺の共謀」と呼んでいる。それは法的訴答書面における原告らの性格づけであり、続けて記述される機能は、顧客が操作するコントロールパネル内での検索、順位付け、起草である。

AIスタックに関する最も具体的な詳細は、Microsoftがデジタル犯罪対策ユニット（Digital Crimes Unit）を通じて公開したその訴状から明らかになる。訴状は、被告らがGroqのAIサービスをEvilTokens管理パネルの初期バージョンに組み込み、より最近ではOpenAIのサービスを更新版に組み込んだと主張している。また、アシスタントを経験豊富なビジネスメール詐欺（BEC）の実行者かつ電信送金詐欺の専門家として位置づけ、すべてのエンドユーザーが既定で利用できるようにするシステムプロンプトを再掲している。Microsoftの調査担当者らはまた、プラットフォームの大部分が「バイブコーディング」されたもの、つまりAIが製作者による構築を支援したものだと結論づけ、さらに「複数のAIモデルの機能を活用していた」とも結論づけた。他のどのモデルかと問われると、Microsoftの広報担当者は明言を避けたと、The Recordは報じている。OpenAIは別途、この妨害作戦のパートナーとして名を連ねている。

数字と、それを数えた人々

この見出しで報じられている規模の数字は、マイクロソフトによるものだ。「2026年2月の開始から数カ月以内に、EvilTokensは世界中の1万を超える組織にまたがる1万2,000以上もの侵害されたメール受信箱と関連付けられていた」とデジタル犯罪対策部門は記した。セキュリティブログもこの数字を繰り返し、SecurityWeekとHelp Net Securityもいずれもこの数字を掲載している。訴状も独自の表現で同じことを述べており、「1万2,000人を超えるマイクロソフトの侵害被害者」としている。独立機関が別途の集計を公表したことはなく、Health-ISACの役割は、医療機関が標的に含まれていたために共同原告として加わることであって、件数を監査することではなかった。

Microsoftは、被害者の活動が最も集中しているのは米国、カナダ、英国、オーストラリア、インド、フランスだと報告しており、影響を受けたセクターとして卸売流通、建設、金融サービス、不動産、高等教育、医療を挙げている。「最も集中している」という表現は重要だ。これら6か国は活動が集中した国であり、被害者がいたすべての国を列挙したものではない。訴状は、この組織が「数百万ドル相当の金融犯罪を容易にする」ために存在していたと主張しているが、本記事のために確認した公開声明には損失額が示されておらず、被害者の名前も挙がっていない。

一つの構造的な点は、その集計値がどれだけの重みを持ち得るかに関わる。マイクロソフトは、この手口が悪用したサインインページの ID プロバイダーであり、プラットフォームをリバースエンジニアリングした調査主体であり、被害者数の出所でもある。つまり、三つの役割すべてを同じ組織が担っている。その説明は詳細で内部的に整合しており、価格設定、仕組み、逮捕者を含め、独立系メディアが確認したあらゆる点で裏付けられている。被害者数は独立に検証されていない。

摘発：民事訴訟、2件の逮捕、そしてそれらが証明しないもの

マイクロソフトの措置は二本立てで進められた。米国では、デジタル犯罪対策ユニットがHealth-ISACを共同原告として、米国バージニア州東部地区連邦地方裁判所から許可を取得し、その後Cloudflare、Coinbase、OpenAI、Railway、SpyCloud、The Shadowserver Foundation、TRM Labsと協力して、同社の言葉を借りれば「プラットフォームの主要部分に対処する」ための行動を取った。マイクロソフトによると、サービス運営に使われていた50のウェブサイトを押収し、そのインフラに関連する150以上の追加ドメインを無効化した。同社はこの作戦を、裁判所の承認を得た40回目の妨害措置であり、同社が「エンドツーエンドのAI活用型サイバー犯罪サービス」と呼ぶものに対する初の措置だとしている。

その訴訟の背後にある訴状は、英国在住の被告2名——Felix UtomiとWaidi Segun Adams——に加え、匿名の当事者5名（DOES 1-5）を名指しし、Computer Fraud and Abuse Act、Electronic Communications Privacy Act、Lanham Act、Racketeer Influenced and Corrupt Organizations Actへの違反を主張している。MicrosoftのDigital Crimes Unitが公開した写しには「filed under seal」と押印され、事件番号はなく、インフラプロバイダー被告2名、Telegramのハンドル名と役職のみで示されるサポートスタッフ3名、そしてアクセス先にバージニア州拠点のMicrosoft顧客とバージニア州拠点のHealth-ISAC会員が含まれるエンドユーザー2名が記載されている。SecurityWeekは、訴状が匿名の個人5名も対象にしていると報じている。事件のアーカイブ概要には、このプラットフォームの背後にある英国登録企業が訴状に記載されていると記録されている。公開されたキャプションは個人名のみを挙げており、ここで検討したMicrosoftの投稿も報道も、法人被告を特定していない。

別件として、ロンドン警視庁（Metropolitan Police Service）のサイバー犯罪チームは2026年9月11日、32歳と38歳の男性2人を逮捕し、デジタル機器やその他の物品を押収した。マイクロソフトのデジタル犯罪対策部門（Digital Crimes Unit）によると、2人は捜査が続く間、条件付きで警察保釈となった。ロンドン警視庁（The Met）はThe Recordに対し逮捕を認め、男性らは詐欺や資金洗浄に使用する物品を製造した疑いで拘束されたと述べた。8月にこの件を同警察に通報したMicrosoftは、同メディアに対し男性らの身元を明かすことを拒否した。捜査を率いたチームのセリーナ・ダダモ警部（Detective Inspector Serena D'Adamo）は次のように述べた。「フィッシングサービスは世界中の何千人もの人々に苦しみをもたらし、日常の人々から金を奪っています。」

記録に含まれていないことも、同じく明言しておく価値がある。起訴はまだ発表されていない。裁判所が誰かに対して認定を下したこともない。民事訴状で名指しされることは申立てであり、有罪判決ではない。また、逮捕された2人の男性は起訴されず、保釈された。公表された資料のどこにも、押収されたインフラが特定の詐欺被害に結び付いていることを示すものはない。Microsoftの投稿も、ここで検討した報道も、それを特定の被害に結び付けてはいない。そしてMicrosoft自身の説明は、妨害は根絶ではないというものだ。「EvilTokensを支えるインフラは妨害されたが、それが示したモデルはそれとともに消えることはない」とMasadaは書いた。

Microsoftが防御側にすべきと述べていること

Security Blogのガイダンスは異例なほど具体的で、このエピソードの中で最も幅広く応用できる部分です。最初の推奨事項は、必要とされない場所ではデバイスコードフローを完全にブロックすること、Teamsデバイスでそれが必要な場合は、例外を特定のTeamsデバイスリソースアカウントに絞り、Conditional AccessからDevice Registration Serviceリソースを除外することです。さらに、FIDOトークンやMicrosoft Authenticatorパスキーなどフィッシング耐性のある多要素認証を推奨し、レガシ認証をブロックして電話ベースのMFAを避けること、Safe Linksを有効化すること（これにより信頼度の高いデバイスコードフィッシングアラートも有効になると述べています）、Advanced Phishing Thresholdを2または3に引き上げること、ゼロアワー自動削除をオンにすること、疑わしい受信トレイルールの作成についてアラートを出すことを挙げています。

対応担当者にとって、Security Blog は、これらの侵入がなぜ続くのかを説明する罠を指摘している。標準的なセッション失効にrevokeSignInSessionsを用いると、更新トークンのみが無効化され、アクセストークンは最大1時間有効なまま残る可能性がある。そのため Microsoft は、侵害されたアカウントを即時の封じ込めのために一時的に無効化し、更新トークンの盗難が疑われる場合は同社のトークン盗難プレイブックで対処することを推奨している。Digital Crimes Unit は、どの製品も提供していない管理策を追加している。それは、支払い情報の変更、資金の振替、異常な取引の承認の依頼を、信頼できる第二のチャネルを通じて独立に検証することだ。同ユニットが組織向けに示した教訓は、「受信トレイが侵害されると、犯罪者はその内容を数日ではなく数分で把握する可能性がある」というものだ。

そのガイダンスはいずれも独立に評価されておらず、記録には、影響を受けた組織のうち何社がデバイスコードフローを有効にしていたか、その後何社がそれをブロックしたかについての測定値も含まれていない。マイクロソフトは影響を受けた顧客に通知し、侵害されたアカウントの修復を支援したと同社は述べているが、個々の組織が対応として何をしたかは公表されていない。

アーカイブは、この項目を現実に発生したインシデント、重大度「高」、信頼度「A」、異議なし、実際の被害が記録され、AIの関与が確認済みとして分類しており、日付はMicrosoftの発表があったその1日としている。この評価は、事象がどれだけ裏付けられているかを反映している——Microsoftの投稿2件、裁判所への提出書類、そして攻撃手法、価格設定、逮捕について一致する独立報道——であり、この記述が攻撃チェーンについて具体的に述べられるのはそのためだ。それはMicrosoftの被害者数を監査済みの数字に変えるものではなく、実名の2人に対する民事上の主張を認定事実にするものでもない。より長く残る点は、Microsoftが自社の利益に反して指摘していることかもしれない。つまり、インフラは停止したが、テンプレート——盗まれたセッション、受信箱を読むアシスタント、数分で起草される詐欺計画——は残っている、ということだ。