Microsoft пресекла работу трёх фишинговых сервисов, связанных с миллиардом мошеннических сообщений
iXBT.com ·
Microsoft и Центр обмена информацией и анализа угроз для здравоохранения (Health-ISAC) добились отключения инфраструктуры трёх китайскоязычных киберпреступных сервисов — YAM Store, CoGUI и Iron Man. По данным компании, с января 2026 года эти платформы помогли организовать рассылку более миллиарда вредоносных сообщений, нацеленных на свыше 75 тысяч организаций в более чем 150 странах. Более 750 миллионов сообщений были направлены клиентам Microsoft. Операторы сервисов, по оценке компании, заработали десятки миллионов долларов.
Расследование началось в конце 2025 года после того, как Национальное полицейское агентство Японии сообщило Microsoft о мошеннических кампаниях против жителей страны. К расследованию подключились Японский центр по борьбе с киберпреступностью и несколько компаний, занимающихся кибербезопасностью и анализом угроз, включая Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. Microsoft также передавала собранные сведения Секретной службе США и международным правоохранительным органам.
Сервисы предоставляли преступникам разные инструменты. YAM Store работал по модели интернет-магазина: покупатели могли приобретать поддельные учётные записи Microsoft и Google, а также готовые средства для проведения мошеннических кампаний. В некоторых случаях операторы использовали домены, срок регистрации которых истёк у некоммерческих организаций и учебных заведений. Восстанавливая сайты на этих адресах, они создавали инфраструктуру для получения учётных записей Microsoft 365 и их последующей продажи. Среди способов оплаты были Alipay, WeChat Pay и криптовалюта USDT.
CoGUI предлагал готовые сайты и сообщения, имитировавшие коммуникацию от имени организаций, которым пользователи привыкли доверять. К середине 2026 года его всё активнее вытеснял более новый сервис Iron Man. Специалисты выявили у него более 2 300 шаблонов, копировавших оформление банков, магазинов, медицинских учреждений, полицейских подразделений и государственных ведомств. В США многие приманки были связаны с транспортом и государственными услугами — например, с оплатой штрафов за нарушение правил дорожного движения и парковку.
Полученную информацию преступники могли применять для покупки дорогих товаров или проведения финансовых операций. При этом сервисы предоставляли не только шаблоны сообщений, но и готовую инфраструктуру, упрощавшую организацию атак против большого числа целей.
Действия Microsoft и Health-ISAC проводились на основании судебного распоряжения Окружного суда США по Южному округу Флориды. Microsoft сообщила об отключении более 20 тысяч учётных записей, связанных с YAM Store, и о блокировке свыше 100 тысяч доменов, использовавшихся для имитации легитимных сайтов и мошенничества. Эти меры затрудняют работу трёх сервисов, однако компания подчёркивает, что они составляют лишь часть более широкой сети киберпреступности.