2 PhaaS 2 Furious：中国語圏のフィッシングサービスの進化

これまでPhaaS （PhaaS：サービスとしてのフィッシング）の領域はロシア語圏の脅威アクターが支配的でしたが、現在、中国語圏のアンダーグラウンドで競合となるエコシステムが急速に成長しています。Google Threat Intelligence Group（GTIG）は、中国のアンダーグラウンドで現在提供されている十数のPhaaSを分析しました。これらはすべて成熟したサービスであり、同地域のより広範な犯罪エコシステムと複雑に結びついていると考えられます。これらのサービスは中国のサイバー犯罪者の参入障壁を下げるだけでなく、ソーシャルエンジニアリングと認証情報窃取の進化に関するより広範な傾向を浮き彫りにしています。Google は昨年末、ある PaaSプロバイダーに対して法的措置を講じました。それ以来、この種の詐欺に対抗するため、法制化の支持や技術的な防御策の導入に取り組んでいます。

このエコシステムにおいて、GTIGは静的なパスワード収集からリアルタイムの傍受およびトークン化への根本的な移行を観測しています。攻撃者はライブ管理パネルを利用して被害者とリアルタイムにやり取りし、OTP（ワンタイムパスコード）を窃取することで、MFA（多要素認証）を即座に回避できます。

これらの攻撃活動は単なるアカウントへのアクセスにとどまらず、デジタルウォレットのトークン化(スマートフォンへのクレジットカード情報の登録・保存)に重点を置いています。このような手法の移行は従来のSMSにおけるセキュリティフィルターを回避するRCSやiMessageなどの暗号化通信チャネルの悪用と相まって、攻撃の目的がもはや単なるログインではなく、被害者の金融口座を直接的かつ不正に制御することへと変化している新たな動向を示しています。

中国語圏のPhaaSエコシステム 

中国語圏のPhaaSエコシステムは単なるロシアの活動の地域版ではなく、独自の専門的文化によって形成された独立した市場です。これらのPhaaSが偽装する正規組織のほぼすべてが非中国の事業体であることから、中国国内が標的になることは稀であると推測されます。

• 一般社会への影響: 大企業の顧客を標的とすることが多いロシアの主要なPhaaSとは異なり、中国語のコミュニティで宣伝されるPhaaSはより機会主義的に一般大衆を標的とするよう設計されている傾向があります。

• オープンな活動: ロシア語圏の攻撃者とは対照的に、中国語圏のPhaaS提供者は運用セキュリティ（OPSEC）を軽視し、公然と活動する傾向があります。例えば一部の脅威アクターはTelegram上に自身の豪奢な生活の写真を頻繁に投稿しています。

• Telegramへの集約: PhaaSの広告は同地域でより普及しているWeChat（微信）やTencent QQといったチャネルではなく、Telegramに定期的に投稿されています。このアプローチはより広範な中国語圏のサイバー犯罪エコシステム全体の傾向と一致しています。

• 幅広い提供サービス: PhaaSが活動の中核を担う一方で、開発者は多数の付随サービスも提供しており、完全かつ成熟した包括的なサービス群を形成しています。これらのサービスにはPII（個人情報）の販売、ドメイン登録やVPSホスティング、サーバーレンタル、資金洗浄、盗聴デバイス（IMSIキャッチャー）、メッセージ送信（スパム支援）などが含まれます。一部のプラットフォーム業者は窃取したクレジットカード情報の取引にも関与しています。

注目される中国語圏PhaaSのTTP

1. RCSとiMessageによる配信：これらの攻撃は現代の通信手段に対する信頼を悪用することから始まります。中国語圏のPhaaSオペレーターは従来のSMSではなく、RCS（Rich Communication Services）とAppleのiMessageを多用しています。エンドツーエンドの暗号化を使用するプロトコルは、配信インフラストラクチャによる悪意あるリンクの検査やフィルタリングを困難にするため、デバイス上での保護が極めて重要になります。またメッセージには豊富なエンゲージメント機能（既読通知、入力中インジケーター、グループチャット機能のほか、高解像度の画像、動画、大容量ファイルの送信機能など）が備わっています。これにより一般ユーザーにはルアー（罠）が極めて本物らしく見えるため、ソーシャルエンジニアリング活動にとって理想的な手段となっています。

2. リアルタイムの傍受： 被害者が悪意のあるリンクをクリックして認証情報を入力すると、そのデータは後で利用するために単に蓄積されるのではなく即座に管理パネルに表示されます。これにより攻撃者は被害者の操作にリアルタイムで対応することが可能になります。被害者にOTPの入力が求められるのと同時に、攻撃者は自身のデバイス上でも同じOTPリクエストを発生させます。そして、被害者がフィッシングページにコードを入力すると攻撃者はコードが有効期限切れになる数秒前にそれを窃取します。

3. デジタルウォレットによる収益化： これらの活動の決定的な特徴は、窃取した決済情報を収益化するためにデジタルウォレットへの登録（プロビジョニング）を悪用している点です。攻撃者は窃取した認証情報とOTPを使用し、自身の管理下にある機器のデジタルウォレットに被害者のカードを登録します。一度登録されたカードは被害者による追加の検証なしに、高額取引、非接触型決済、さらにはATMでの引き出しにまで悪用される可能性があります。また証券会社に焦点を当てたテンプレートも開発されており、電信送金詐欺や株価操作を目的とした従来のアカウント乗っ取りの促進に利用される可能性もあります。

4. AIベースの自動化： 複数の中国語圏PhaaSオペレーターが、攻撃の規模拡大と隠密性を実現するために自らの活動にAIを導入しています。一例としてGTIGがUNC5814に関連づけているDarcula PhaaSプラットフォームは、静的なテンプレートから脱却し、AIを活用したページジェネレーターやPuppeteerなどのブラウザ自動化ツールを利用しています。これにより攻撃者は標的サイトのURLを入力するだけで、HTML、CSS、JavaScript、視覚要素を複製し、正規サイトのクローンを作成することが可能になります。静的テンプレートに依存せずフィッシングページが都度独自に生成されるため、従来のシグネチャベースの検知手法はますます無効化されています。

Localization-as-a-Service

中国語圏のPhaaSエコシステムは、多様な国際市場向けにローカライズされたコンテンツを生成できる高度に自動化されたモデルへと移行しています。静的で質の低い翻訳テンプレートに依存してきた従来のフィッシングキットとは異なり、これらのオペレーターは対象地域の言語や文化に即した自然な表現を大規模に展開するためのインフラを提供しています。AIを活用したページジェネレーターから地域特化型の配信支援に至るまで包括的に提供することで、技術力の低いアフィリエイト（攻撃の実行役）であっても、極めて精巧な攻撃キャンペーンを実行できるようにしています。

ケーススタディ: YY Lai Yu (YY来鱼)

2024年8月に初めて宣伝されたYY Lai Yuは、現地に即したデジタルエコシステムを提供するPhaaSの一例です。このプラットフォームは119か国でのフィッシングに対応していますが、最大の標的とされているのは日本です。『YY Lai Yu』、『Jeffrey Carrie』、『Very casual』といったコアチームによって運営されるこのサービスは、中国語圏の脅威アクターに対し、日本の消費者エコシステムを効果的に標的にするために必要なローカライズされたインフラを提供しています。

2025年11月以降、YY Lai Yuは顧客に400以上のフィッシングテンプレートを提供しており、一般的な銀行系ルアーの枠を超え、日本居住者のデジタルライフスタイルも標的としています。これらのテンプレートにはAmazon、Apple、DMM、エポスカード、JAバンク、JCBカード、JR、松井証券、メルカリ、マネックス証券、任天堂、野村證券、オリコカード、PayPay、楽天証券、佐川急便など、さまざまな日本語および日本ブランドが含まれています。また脅威アクターは単なる偽のアカウントページを提供するだけでなく、ポイント（积分）や報酬引き換えを騙るルアーを活用して現地の消費習慣に深く入り込み、有効期限が迫っていると偽ってポイントを現金や商品に交換するよう被害者を追い込んでいます。さらに現地の経済活動への深い理解を示すように、オペレーターは日本の冬季の電気料金補助金を騙るルアーを作成し、生活費に対する人々の不安にもつけ込んでいます。

YY Lai Yuが現地の交通機関や決済アプリから大手Eコマースやゲームプラットフォームに至るまで、あらゆるものを偽装した複数の異なるドメインを展開していることは、中国語圏PhaaSが一般的な日本人消費者の日常的なデジタル行動全体にわたって、いかにそのルアーを適応させ、包括的なサービスへと進化しているかを示す一例です。この高度にローカライズされたインフラを保護するため、フィッシングサイトには実際のフィッシングページが表示される前に、独自の人間確認用アンチボット機能が組み込まれていました。例えば手動でのクリックを要求することでセキュリティベンダー等による一部の自動解析の阻止に成功しており、高度な隠密層を付加していました。

他の多くのフィッシングサービスと同様に、YY Lai YuはRCSやiMessageを活用して暗号化されたメッセージを大量送信し、被害者と同期的にやり取りしながら決済カードやOTPデータを窃取します。管理パネルではフィッシングデータの照会、BIN（銀行識別）番号による特定のカード種のブラックリスト化やハイライト表示、特定の国や地域のブラックリスト化、そしてAlibabaのドメイン登録サービスを利用した新規ドメインの登録と管理が可能です。さらに管理者は新規オペレーターアカウントを作成して権限を付与でき、管理パネル内から作戦に使用するドメインを購入する機能も提供されています。

YY Lai Yuが日本などを注視している一方で、中国語圏のPhaaSエコシステム全体は世界中に広く網を張っています。GTIGは他の中国語圏PhaaSが南北アメリカ、ヨーロッパ、オーストラリア、中東のユーザーを侵害することを目的として調整されたインフラを展開している状況も観測しています。

今後の展望 

これらのサービスが普及し続けていることは、中国を拠点とする脅威アクターが決済カード不正に持続的な関心を寄せていることを示しています。購入可能な洗練されたPhaaSプラットフォームが多数存在すること、そして脅威アクターがデジタルウォレットのトークン化の悪用やMFAの回避に注力していることは、中国の犯罪エコシステムが環境への適応を続けている証左であり、技術的スキルの限られた脅威アクターであってもフィッシング活動を行うことを可能にしています。

標準的なフィッシングセキュリティ対策（ユーザー向けの啓発トレーニングなど）が重要な第一の防衛線であることに変わりはありません。しかし中国語圏のPhaaSエコシステムが蔓延している現状は、ユーザー教育の枠を超える技術的なセキュリティ管理の必要性を浮き彫りにしています。例えばFIDO2/WebAuthnインフラへの移行は、アカウント認証用OTPのリアルタイム傍受に対する効果的な対抗策となります。セキュリティキーを導入しても、ユーザーが未知のフィッシングサイトに決済情報を直接入力してしまうこと自体は防げませんが、窃取された認証情報の悪用を困難にすることで攻撃者の機会を劇的に減少させることができます。こうした企業レベルでの認証のアップグレードは、デジタルウォレットへの登録プロセスにおいて、カード発行会社が行うリスクベース認証やデバイスフィンガープリント技術と共に積極的に検討されるべきです。

これらの脅威アクターが世界規模での影響力を最大化すべくツールの改良を続ける中、防御側の目標は、単にフィッシングを『検知』することから、被害者の認証情報を技術的に悪用不可能にすることへとシフトしなければなりません。プラットフォームが継続的かつ頻繁にアップデートされているという事実は、中国語圏のPhaaSオペレーターがその世界的影響力を最大化するために、ツールの洗練を続けていることを示しています。