Microsoft заблокировала три фишинговых сервиса, причастных к рассылке миллиарда мошеннических сообщений

Microsoft и Центр обмена информацией и анализа угроз в сфере здравоохранения (Health-ISAC) добились блокировки инфраструктуры трёх китайскоязычных киберпреступных сервисов: YAM Store, CoGUI и Iron Man. По данным Microsoft, с начала 2026 года через эти платформы было организовано более миллиарда вредоносных рассылок, жертвами которых стали свыше 75 тысяч организаций в более чем 150 странах. Из них более 750 миллионов сообщений получили клиенты Microsoft. По оценке компании, организаторы сервисов нажили десятки миллионов долларов.

Расследование стартовало в конце 2025 года: Национальное полицейское агентство Японии уведомило Microsoft о мошеннических кампаниях, направленных против японцев. К работе присоединились Японский центр по борьбе с киберпреступностью и ряд компаний в сфере кибербезопасности и анализа угроз, среди которых Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. Собранные материалы Microsoft также передала Секретной службе США и правоохранительным органам других стран.

Каждый из сервисов снабжал злоумышленников своим набором инструментов. YAM Store действовал как интернет-магазин: клиенты могли покупать поддельные учётные записи Microsoft и Google, а также готовые решения для мошеннических кампаний. Порой операторы пользовались доменами, которые некоммерческие организации и учебные заведения вовремя не продлили. Разворачивая на этих адресах сайты заново, преступники создавали инфраструктуру для получения учётных записей Microsoft 365 с последующей их перепродажей. Принимались платежи через Alipay, WeChat Pay и в криптовалюте USDT.

CoGUI предлагал готовые сайты и письма, выдававшие себя за сообщения организаций, которым люди привыкли доверять. К середине 2026 года его всё сильнее теснил более новый сервис Iron Man. Исследователи насчитали у него более 2 300 шаблонов, воспроизводивших дизайн банков, магазинов, медицинских учреждений, полиции и государственных ведомств. В США значительная часть приманок была связана с транспортом и госуслугами, например с оплатой штрафов за нарушение ПДД и парковку.

Добытые сведения злоумышленники могли использовать для покупки дорогостоящих товаров или совершения финансовых операций. Помимо шаблонов сообщений, сервисы предлагали и готовую инфраструктуру, которая позволяла проще проводить атаки сразу на множество целей.

Microsoft и Health-ISAC действовали на основании судебного постановления Окружного суда США по Южному округу Флориды. Microsoft сообщила, что отключила более 20 тысяч учётных записей, связанных с YAM Store, и заблокировала свыше 100 тысяч доменов, которые применялись для имитации легитимных сайтов и мошенничества. Эти меры осложняют работу трёх сервисов, но, как подчёркивает компания, затрагивают лишь часть более обширной киберпреступной сети.

Источник: iXBT