Microsoft und das Japan Cybercrime Control Center (JC3) berichten am 14. Oktober 2026, dass Domains, über die YAM Store, CoGUI und Iron Man betrieben wurden, aufgrund einer gerichtlichen Anordnung beschlagnahmt und umgeleitet worden seien. Microsoft meldet außerdem mehr als 20.000 deaktivierte Konten mit Verbindung zu YAM Store und mehr als 100.000 blockierte Domains, die für Nachahmung und Betrug genutzt worden seien. Das Unternehmen beschreibt die Maßnahmen zur Zerschlagung der Infrastruktur als fortlaufend (Microsoft; JC3).

Welche Rolle YAM Store und die Phishing-Kits spielten

Microsoft beschreibt YAM Store als Zugangshändler: Der Dienst habe kompromittierte oder betrügerisch beschaffte Cloud-Umgebungen, Konten, Lizenzen und Speicherplatz von Microsoft und Google an weitere Betreiber verkauft. Microsoft führt YAM Store unter dem Namen Storm-3119. CoGUI, Haozi und Iron Man System seien über den Marktplatz angebotene Phishing-Kits und gehörten zum Aktivitätscluster Storm-2990. Solche Kits liefern Bausteine für täuschend echte Anmeldeseiten und Nachrichten (Microsofts technische Analyse).

Welche Reichweite die Zahlen beschreiben

Seit Januar 2026 hätten die drei Dienste nach Angaben von Microsoft und JC3 mehr als eine Milliarde schädliche Nachrichten ermöglicht, die sich gegen mehr als 75.000 Organisationen richteten. Microsoft beziffert den Teil der Nachrichten, der auf eigene Kunden ausgerichtet gewesen sei, auf mehr als 750 Millionen. Diese Zahl bezieht sich auf Microsoft-Kunden, nicht auf die Gesamtzahl der Nachrichten (Microsoft; JC3).

Was die Zivilklage aufführt

In der Klage werden Microsoft Corporation und Health-ISAC, Inc. als Kläger sowie Yang Jian d/b/a Yam Store, Inc. und Does 1–10 als Beklagte genannt. Die Klage erhebt Vorwürfe wegen Täuschung, unbefugten Zugriffs auf Computersysteme und Verletzungen geistigen Eigentums. Die Mitteilung berichtet von einer einstweiligen Verfügung und nennt weitere beantragte Unterlassungsmaßnahmen sowie Schadenersatz (Klageinformation).

Was Resecurity im Labor untersuchte

Resecurity berichtet, eine Lizenz für Iron Man gekauft und das Kit in einer isolierten Laborumgebung untersucht zu haben. In einem Katalogstand mit Einträgen bis zum 1. Oktober 2026 zählte das Unternehmen 2.360 Vorlagen für 130 Zielgebiete und 242 Länder- beziehungsweise Sprachcodes. Zusätzlich meldete Resecurity 911 veröffentlichte Build-Versionen. Microsoft nennt separat mehr als 2.335 Iron-Man-Vorlagen, die auf mehr als 139 Länder zugeschnitten gewesen seien; die Zahlen beruhen auf unterschiedlichen Angaben zu Katalogen und geografischer Abdeckung (Resecurity; Microsoft).

Welche Schutzmaßnahmen Microsoft empfiehlt

Microsoft rät Organisationen, unerwartete Zahlungs- oder Anmeldeaufforderungen über einen bekannten, vertrauenswürdigen Kontaktweg zu prüfen, statt einem Link in der Nachricht zu folgen. Für den Identitätsschutz empfiehlt das Unternehmen Passkeys und Mehr-Faktor-Authentifizierung, minimale Berechtigungen und Conditional Access. Außerdem verweist Microsoft auf Schutzmaßnahmen für E-Mail und Netzwerk in seinen Sicherheitsprodukten (Microsofts Empfehlungen).