Более миллиарда мошеннических сообщений, 75 тысяч организаций и 150 стран. Microsoft раскрыла целую индустрию киберпреступных услуг, где готовые сайты, поддельные аккаунты и инструменты обмана продавались практически как обычные интернет-товары.
14 октября Microsoft совместно с Health-ISAC объявила об операции против трёх криминальных сервисов YAM Store, CoGUI и Iron Man. С января 2026 года через связанную с ними инфраструктуру распространяли сообщения, нацеленные на клиентов банков, медицинские учреждения, компании и обычных пользователей. Более 750 миллионов сообщений предназначались клиентам Microsoft, а доходы операторов достигали десятков миллионов долларов.
Расследование началось в конце 2025 года, когда японская полиция обратила внимание Microsoft на массовые мошеннические рассылки. След привёл к китайскоязычной подпольной торговой площадке, где преступники покупали практически всё необходимое для атак. Сервис CoGUI предлагал готовые фишинговые сайты и сообщения, имитирующие банки, государственные учреждения и известные компании.
YAM Store работал по принципу обычного интернет-магазина. Покупатели сравнивали цены и приобретали поддельные аккаунты Microsoft и Google вместе с инструментами для кражи учётных данных. Microsoft провела контрольные закупки и подтвердила схему торговли. В отдельных случаях продавцы выкупали просроченные домены образовательных и некоммерческих организаций, восстанавливали сайты и получали через них аккаунты Microsoft 365.
К середине 2026 года CoGUI начал уступать место более продвинутой платформе Iron Man. Через неё преступники получали тысячи шаблонов писем, SMS и веб-страниц для разных стран и отраслей. Исследователи обнаружили более 2300 вариантов, копирующих банки, магазины, авиакомпании, полицию и государственные службы. Поддельные страницы охватывали свыше 150 стран, а наличие чужого бренда в шаблоне не означало взлом настоящей организации.
Для обмана использовали привычные поводы: неоплаченные дорожные сборы, проблемы с доставкой посылок, банковские уведомления и налоговые задолженности. Жертву побуждали срочно перейти по ссылке, ввести пароль или платёжные реквизиты. Подобная коммерциализация мошенничества уже встречалась в истории платформы Lighthouse, предлагавшей готовые инструменты для массовых атак.
В ходе международной операции Microsoft и Health-ISAC получили судебное разрешение во Флориде на захват и перенаправление доменов криминальной инфраструктуры. Компания отключила более 20 тысяч аккаунтов, связанных с YAM Store, и продолжает блокировать свыше 100 тысяч доменов, использовавшихся для подделки сайтов и мошенничества.
В расследовании участвовали японская полиция, JC3, Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. Искусственный интеллект помог связать аккаунты, сайты и серверы, которые первоначально казались независимыми. Microsoft рассчитывает нарушить работу поставщиков преступных услуг, а не только отдельных рассылок. Полностью ликвидированной всю сеть компания пока не называет.
