Microsoft и международная организация по кибербезопасности медицинской отрасли Health-ISAC объявили 14 октября об изъятии и перенаправлении доменов, поддерживавших YAM Store, CoGUI и Iron Man: с января 2026 года эта экосистема помогла отправить более миллиарда вредоносных электронных писем и SMS. Операцию провели по решению Федерального окружного суда США по Южному округу Флориды.
По данным Microsoft, сообщения предназначались более чем 75 тысячам организаций, а свыше 750 млн из них — клиентам компании. Атаки затронули потребителей, медицинские и финансовые организации и другие компании более чем в 150 странах.
YAM Store работал как интернет-магазин криминальной инфраструктуры: там продавали незаконно полученные аккаунты, лицензии и облачные хранилища Microsoft и Google. CoGUI и Iron Man предоставляли готовые сообщения и поддельные сайты для кражи паролей, платёжных данных и другой личной информации. В Iron Man исследователи обнаружили более 2300 шаблонов, имитировавших банки, магазины, службы доставки, медицинские и государственные организации.
Microsoft деактивировала более 20 тысяч аккаунтов, связанных с YAM Store, удаляет размещённую в своих системах инфраструктуру и заблокировала более 100 тысяч доменов, использовавшихся для мошенничества и имитации чужих сайтов. Расследование началось во второй половине 2025 года после сведений Национального полицейского агентства Японии о вредоносных рассылках.
Proofpoint, участвовавшая в расследовании, ожидает, что операция создаст технические и финансовые трудности для нескольких связанных групп и снизит эффективность их фишинговых кампаний.