Microsoft начала блокировку более 100 тысяч доменов, связанных с китайскоязычным рынком киберпреступных услуг. За витриной с готовыми инструментами для мошенничества скрывалась инфраструктура, через которую разослали свыше миллиарда вредоносных сообщений по всему миру.
Операция направлена против трёх взаимосвязанных сервисов YAM Store, CoGUI и Iron Man. С января 2026 года с их помощью атаковали более 75 тысяч организаций в свыше 150 странах. По оценке Microsoft, на клиентов компании пришлось более 750 миллионов мошеннических сообщений, а операторы преступных сервисов заработали десятки миллионов долларов.
Расследование началось в конце 2025 года, когда Национальное полицейское агентство Японии предупредило Microsoft о волне мошеннических рассылок. Вместо отдельных преступных групп следователи обнаружили целый рынок, где торговали учётными записями, хостингом и инструментами для создания поддельных сайтов. К работе подключились японский центр JC3 и частные компании.
YAM Store действовал как обычный интернет-магазин. Покупатели выбирали товары, сравнивали цены и приобретали поддельные учётные записи Microsoft и Google, а также инструменты для кражи данных. Проверочные покупки Microsoft подтвердили схему продаж. Некоторые продавцы использовали просроченные домены некоммерческих и образовательных организаций для получения аккаунтов Microsoft 365.
Преступники восстанавливали сайты на таких доменах, создавая видимость действующих организаций. Затем регистрировали учётные записи Microsoft 365 под чужой вывеской и продавали через YAM Store. Полученные аккаунты помогали проводить дальнейшие мошеннические кампании, а покупателям не приходилось самостоятельно готовить инфраструктуру.
CoGUI предоставлял готовые страницы и сообщения от имени банков, государственных ведомств и известных компаний. Подделки выманивали пароли, платёжные реквизиты и личную информацию. Сервис особенно активно использовали против жителей Японии и США, однако к середине 2026 года его всё чаще заменял более новый набор Iron Man.
Iron Man позволял быстро собирать электронные письма, SMS и сайты под конкретную страну или бренд. Исследователи получили доступ более чем к 2300 шаблонам, имитировавшим банки, магазины, больницы, транспортные ведомства и полицию в 150 с лишним странах. Наличие шаблона не означало, что настоящую организацию взломали.
Как следует из расследования Microsoft, мошеннический рынок работал по принципу разделения труда. Одни участники продавали аккаунты, другие обеспечивали страницы для фишинга, третьи готовили сообщения от имени доверенных организаций. Жертвы видели лишь уведомления о доставке, неоплаченном проезде или проблемах с банковским счётом.
По судебному решению во Флориде Microsoft совместно с Health-ISAC изъяла и перенаправила часть доменов трёх сервисов. Компания уже отключила более 20 тысяч аккаунтов YAM Store и продолжает блокировать свыше 100 тысяч мошеннических доменов. Ранее Microsoft участвовала в ликвидации RedVDS, предоставлявшего инфраструктуру для преступных операций. О полном прекращении работы обнаруженной сети пока не объявлено.
