Microsoft и полиция Японии обрушили фишинговую экосистему YAM Store, CoGUI и Iron Man

14 октября Microsoft по решению федерального суда США изъяла домены маркетплейса YAM Store и фишинг-китов CoGUI, Haozi и Iron Man. С января 2026 года через эту экосистему ушло более 1 млрд вредоносных писем и SMS против 75 тыс. организаций в 150+ странах. Атаки ослабнут, но не исчезнут: защиту учётных записей нужно усиливать уже сейчас.

Операцию провела Digital Crimes Unit (DCU) Microsoft вместе с Health-ISAC, Национальной полицией Японии и частными партнёрами — Cloudflare, Oracle, Proofpoint, Resecurity и TRM Labs. Это не одиночный набор поддельных страниц, а целый «рынок услуг»: от продажи готовых облачных аккаунтов до конструкторов фишинга с панелью оператора. Похожую модель мы уже разбирали в новости про PhaaS-платформу AnonymousKit, а для команд информационной безопасности история важна как ориентир: так сегодня выглядит промышленный фишинг.

Ниже — что именно закрыли, почему изъятие доменов не означает конец кампаний и какие меры в Microsoft 365 и Google Workspace стоит проверить в ближайшие дни.

Что изъяли: маркетплейс и три фишинг-кита

Центральным звеном был YAM Store — Microsoft отслеживает его как Storm-3119. Это интернет-магазин и брокер первоначального доступа: по формулировке BleepingComputer, он продавал «скомпрометированные или полученные мошенническим путём среды, аккаунты, лицензии и хранилища Microsoft и Google». С таких аккаунтов злоумышленникам удобно рассылать письма и размещать фишинговые страницы: репутация облачных доменов помогает обходить почтовые фильтры.

На той же площадке продавались фишинг-киты CoGUI, Haozi и Iron Man. CoGUI и Iron Man Microsoft связывает с группой Storm-2990. По данным SecurityWeek, это интерактивные платформы: оператор видит действия жертвы в реальном времени и в нужный момент запрашивает одноразовый код подтверждения. Так перехватывается не только пароль, но и второй фактор. Iron Man рекламировали на YAM Store с июня 2026 года, а в каталоге набора было более 2,3 тыс. шаблонов под бренды банков, ретейлеров, служб доставки и госорганов более чем 130 стран.

Масштаб: цифры операции

• более 1 млрд вредоносных сообщений с января 2026 года, из них свыше 750 млн — против клиентов Microsoft;
• более 75 тыс. атакованных организаций в 150+ странах — здравоохранение, финансы, частные пользователи;
• свыше 17 тыс. доменов использовались тремя китами;
• Microsoft отключила более 20 тыс. аккаунтов YAM Store и заблокировала свыше 100 тыс. доменов, имитирующих бренды;
• доход операторов оценивается в десятки миллионов долларов.

Расследование началось в конце 2025 года, когда японская полиция сообщила Microsoft о волне мошеннических рассылок в стране. «То, что началось с мошенничества против людей и организаций в Японии, привело следователей к подпольной экономике услуг, снабжающей преступников по всему миру», — заявил генеральный менеджер DCU Стивен Масада. Ордер на изъятие выдал окружной суд США по Южному округу Флориды.

Почему изъятие доменов не закрывает угрозу

Домены — расходный материал, и операторы фишинговых сервисов умеют быстро их менять. Важнее другое: по оценке Resecurity, киты регулярно связываются с серверами лицензирования, поэтому отключение этой инфраструктуры должно деградировать все активные развёртывания разом. Однако проданные ранее облачные аккаунты, украденные пароли и токены сессий у злоумышленников остаются. Если сотрудники компании вводили данные на поддельной странице за последние месяцы, доступ может использоваться уже без всякого фишинга.

Ещё один вывод для служб защиты: киты применяли геофенсинг, фильтрацию по IP и фальшивые CAPTCHA, чтобы прятать страницы от сканеров, а также фишинг через код устройства (device code) для кражи токенов аутентификации. Против таких техник классический одноразовый SMS-код уже не спасает.

Что проверить командам ИБ и ИТ

1. Переведите привилегированные учётки на фишингоустойчивую MFA — ключи FIDO2 или passkeys. Коды из SMS и приложений перехватываются интерактивными китами вроде Iron Man.
2. Ограничьте device code flow. В Microsoft Entra ID этот способ входа можно запретить политиками условного доступа для всех, кому он не нужен.
3. Пересмотрите входы за 2026 год. Ищите аномальные сессии, новые устройства и правила пересылки почты; при сомнениях отзывайте токены и сбрасывайте пароли.
4. Проверьте почтовую аутентификацию своего домена — SPF, DKIM и DMARC с политикой reject, чтобы от вашего имени было сложнее рассылать фишинг.
5. Обновите обучение сотрудников: SMS от «службы доставки» и письма от «госоргана» — классика шаблонов, продававшихся на YAM Store.

Для проверки устойчивости к социальной инженерии полезен пентест с фишинговой рассылкой: он показывает, сколько сотрудников реально вводят данные на поддельной странице.

Часто задаваемые вопросы

Кто стоит за YAM Store? Microsoft называет YAM Store, CoGUI и Iron Man китаеязычными сервисами и отслеживает их операторов как Storm-3119 и Storm-2990. Имена подозреваемых и аресты в публикациях от 14 октября не раскрываются.

Касается ли это российских компаний? Атаки шли по 150+ странам, а шаблоны покрывали более 130 стран. Методы — перехват MFA-кодов, device code phishing, поддельные облачные аккаунты — универсальны и применимы к любой организации на Microsoft 365 или Google Workspace.

Помогает ли обычная двухфакторная аутентификация? Лишь частично. Интерактивные киты запрашивают одноразовый код в реальном времени, поэтому надёжнее аппаратные ключи и passkeys.

Источники

• BleepingComputer — Global takedown hits network behind 1 billion phishing messages, 14 октября 2026.
• SecurityWeek — Microsoft Disrupts Chinese-Language Phishing Market Behind 1B+ Messages, 14 октября 2026.
• TRM Labs — TRM Supports Microsoft's Disruption of YAM Store, CoGUI, and Iron Man (участник операции).