Microsoft und Health-ISAC meldeten am 14. Oktober 2026, dass sie Domains von YAM Store, CoGUI und Iron Man beschlagnahmt und umgeleitet hatten. Microsoft berichtete außerdem von mehr als 20.000 deaktivierten, mit YAM Store verbundenen Konten und davon, dass mehr als 100.000 für Identitätsmissbrauch und Betrug genutzte Domains blockiert würden. Die drei Dienste gehörten laut Microsoft zu einem größeren kriminellen Netzwerk.

Welche Rolle die drei Dienste spielten

Microsoft beschrieb YAM Store als Marktplatz für betrügerisch beschaffte Microsoft- und Google-Konten sowie weitere Werkzeuge für Betrugsmaschen. CoGUI stellte demnach vorgefertigte Webseiten und Nachrichten bereit, mit denen Unternehmen, Finanzinstitute und Behörden imitiert wurden. Iron Man bot Vorlagen für solche Imitationen an. Solche vorgefertigten Werkzeuge senken den Aufwand, mit dem sich Phishing-Kampagnen zusammenstellen lassen.

Microsoft ordnete CoGUI besonders Angriffen auf Menschen in Japan und den USA zu. Die drei Dienste waren nach Darstellung des Unternehmens Teil eines größeren Netzwerks.

Wer im Zivilverfahren genannt wird

Im Zivilverfahren 1:26-cv-26998-JEM vor dem US-Bezirksgericht für den südlichen Bezirk von Florida werden Microsoft Corporation und Health-ISAC, Inc. als Kläger geführt. Als Beklagte nennt die Fallübersicht zum Verfahren Yang Jian unter der Geschäftsbezeichnung Yam Store, Inc. sowie „Does 1–10“. Diese Bezeichnungen geben die Parteien des Zivilverfahrens an.

Microsoft erklärte, eine einstweilige Verfügung erwirkt zu haben. Am 7. Oktober 2026 wurde ein versiegeltes Dokument 20 in der Gerichtsakte eingetragen. Die öffentlich angekündigte Domain-Operation folgte als Mitteilung am 14. Oktober.

Was Microsofts Zahlen und Resecuritys Beobachtungen aussagen

Microsoft schätzte am 14. Oktober, dass YAM Store, CoGUI und Iron Man seit Januar 2026 mehr als eine Milliarde schädliche Nachrichten ermöglicht hatten. Diese hätten mehr als 75.000 Organisationen in über 150 Ländern ins Visier genommen; mehr als 750 Millionen Nachrichten seien auf Microsoft-Kunden ausgerichtet gewesen. Das Unternehmen meldete außerdem, über 20.000 mit YAM Store verbundene Konten deaktiviert zu haben. Mehr als 100.000 Domains, die für Identitätsmissbrauch und Betrug genutzt wurden, sollten blockiert werden.

Resecurity zählte in einer am 14. Oktober veröffentlichten Analyse 2.360 Iron-Man-Vorlagen in 130 Zielgebieten und 911 veröffentlichte Build-Versionen. Im Katalog fanden sich Einträge bis zum 1. Oktober; die jüngste Veröffentlichung im Build-Register lag laut Analyse innerhalb der Woche vor ihrem Erscheinen. Für die Untersuchung nutzte Resecurity eine gekaufte Lizenz, eine isolierte Laborumgebung, erfasste Netzwerkverkehr und prüfte öffentlich zugängliche Registereinträge. Diese Daten beschreiben Resecuritys Beobachtungen vor der Ankündigung der Domain-Operation.

Eine Phishing-Vorlage ist kein Nachweis für einen Systemeinbruch

Microsoft erklärte, dass die Nennung eines Unternehmens oder einer Behörde in einer Vorlage nicht bedeute, dass deren Systeme kompromittiert worden seien. Eine Vorlage zeigt, welche Organisation imitiert werden sollte; für sich genommen belegt sie keinen Einbruch bei dieser Organisation. Die von Microsoft angekündigte Maßnahme richtete sich gegen Domains und Dienste, die das Unternehmen dem größeren Netzwerk zuordnete.