Microsoft заблокировала более 100 тысяч доменов, использовавшихся для мошенничества и выдачи себя за легальные организации, и отключила свыше 20 тысяч аккаунтов, связанных с подпольной площадкой YAM Store. Это часть операции против YAM Store и фишинговых сервисов CoGUI и Iron Man, которую компания ведёт вместе с Health-ISAC, международной организацией по обмену данными о киберугрозах в здравоохранении.
По постановлению федерального суда Южного округа Флориды Microsoft и Health-ISAC изъяли и перенаправили домены, поддерживавшие YAM Store, CoGUI и Iron Man.
С января 2026 года эти сервисы помогли разослать более миллиарда вредоносных писем и SMS более чем 75 тысячам организаций по всему миру. Расследование началось в конце 2025 года после сообщений Национального полицейского агентства Японии об атаках на японских пользователей и компании.
Читайте также
Как работала сеть
YAM Store продавала скомпрометированные или полученные обманом облачные среды, аккаунты, лицензии и хранилища Microsoft и Google.
Операторы автоматически искали домены и организации, которыми владельцы перестали пользоваться. Истёкший домен регистрировали заново, восстанавливали похожий сайт и от имени прежней организации получали облачные аккаунты. Затем доступ перепродавали другим злоумышленникам.
CoGUI и Iron Man предоставляли готовые письма, SMS и сайты, имитировавшие банки, магазины, службы доставки и государственные учреждения. По данным Microsoft Threat Intelligence, в Iron Man более 2335 шаблонов, рассчитанных на цели более чем в 139 странах. Покупатели могли запускать кражу паролей и платёжных данных без собственной инфраструктуры.
Microsoft называет эти сервисы частью более крупной сети и отмечает, что атаки с их помощью могут затронуть любую организацию. Судебное разбирательство продолжается: Microsoft получила временный запрет и добивается окончательного решения и постоянного запрета.