摘発後も1か月で700件超の偽ページ、中国語圏PhaaS「Outsider」は10万超 — Group-IB報告

シンガポールのセキュリティ企業Group-IBは2026年9月3日、「ChenLun」と名乗る攻撃者が運営するフィッシング基盤（PhaaS：Phishing-as-a-Service）「Outsider」（局外人）の分析を公開した。2025年12月から2026年5月の半年足らずで10万件を超える偽ページが54か国超を狙い、Googleの民事提訴とFBIが連携した摘発作戦の後も、わずか1か月で700件超の新規ページが作られた。かつては技術力が要った大規模詐欺が、定額利用とメッセージアプリの販路にまで簡略化されている実態を示す報告だ。

Outsiderとは — 中間者攻撃で多要素認証をすり抜ける貸し基盤

PhaaSとは、攻撃者が自前で仕組みを作らずに借りて使う、定額制の詐欺基盤の提供形態だ。ランサムウェアのRaaSと同じ発想で、利用者は実績ある攻撃手順を短時間で再現できる。Outsiderは中国語圏で確立された基盤で、267種を超える偽装ひな型（増加中）を備える。狙われた業種は金融、通信、物流、罰金・料金の通知などで、対象国は54か国超に広がる。

技術的な核心は中間者攻撃（AiTM）機能だ。静的な偽ページでIDとパスワードを盗む従来型と異なり、Outsiderは被害者と正規サイトの間にリアルタイムで割り込み、入力を本物のサイトへ転送して応答を返す。利用者は正規の認証手続きを進めたつもりになり、その裏で攻撃者は認証トークンやセッションのCookieまで奪う。多要素認証（MFA）の入力も中継されるため、MFAの有無だけでは防げない点が特徴だ。

攻撃の流れ — SMSで誘い、実況で操作する

Group-IBの説明によると、Outsiderの典型的な攻撃の流れは次の通りだ。

1. SMSで偽サイトへ誘導する: 携帯電話番号宛てのメッセージ（スミッシング）に短縮リンクを載せ、使い捨ての受け皿ドメインへ誘う。
2. 中間者として正規サイトへ中継する: 被害者の入力を即時に本物へ転送し、応答を返すことで正規の手続きに見せかける。
3. WebSocketで実況中継する: 攻撃者側の管理画面とはWebSocket接続で結ばれ、キー入力の実況取得（ライブキーロギング）やMFAの要求画面の出し分けを利用者が操る。
4. 二次認証の出し分けを切り替える: SMS・メール・PIN・アプリのどの確認手段を見せるかは利用者側の設定で選べ、被害者の状況に合わせて誘導を続ける。
5. 被害者の段階を追跡する: HTMLファイル名の接頭辞が状態記号として機能し、攻撃のどの段階にいるかを管理画面でたどれる。

基盤の頒布と運用はTelegram上の専用経済圏で行われる。かつては高度な技能を要した一連の作業が、利用契約とTelegramのチャンネルにまで縮小されているとGroup-IBは指摘している。

摘発後も存続 — 提訴から1か月で700件超の新規ページ

脅威の規模を受け、Googleは6月12日にOutsiderの運営側を相手取る民事訴訟を起こし、翌13日にはFBIサイバー部門がGoogleおよびLumenのBlack Lotus Labsと連携し、基盤の解体に向けた共同作戦「Operation Ghost Hook」を発表した。それでも脅威は消えていない。Group-IBの脅威インテリジェンス部門は、提訴後のわずか1か月で700件を超える新規の偽ページを確認し、関連業者がOutsiderを使い続けていると判断している。

Group-IBが示す対策 — 企業と個人で異なる要点

Group-IBは対策を企業向けと個人向けに分けて示している。企業に対しては、ファイル名の署名を使った新規ページの追跡と偽サイトの取り下げ、脅威インテリジェンスによる新たな基盤の早期把握、SMS経由のブランド悪用に対する継続監視を挙げている。個人に対しては、次の4点を呼びかけている。

• 心当たりのないSMSで緊急性をあおる文面に注意する。
• SMS通知の中のリンクを開かない。
• 通知の真偽は公式アプリや公式サイトで確認する。
• SMSのリンク先で機微情報や支払い情報を入力しない。

SMSで届く通知のリンクを日常的に開く利用者にとって身近な脅威であり、MFAを設定している場合でも中間者型の誘導では突破され得る点が注意点だと同社は結んでいる。

出典

• The Outsider Phishing Kit: A Resilient Threat in the Face of Law Enforcement Action — Group-IB（2026年9月3日公開、Viacheslav Shevchenko、Brandon Tan）