Le 14 octobre 2026, Microsoft et Health-ISAC ont annoncé la saisie et la redirection de domaines associés à YAM Store, CoGUI et Iron Man. Microsoft a aussi fait état de comptes désactivés et de domaines de fraude en cours de blocage. Les trois services, selon l’entreprise, faisaient partie d’un réseau criminel plus vaste.
Les domaines et services visés
Microsoft a décrit YAM Store comme une place de marché vendant des comptes Microsoft et Google frauduleux ainsi que des outils utilisés dans des escroqueries. CoGUI fournissait des sites et des messages prêts à l’emploi pour usurper l’identité d’entreprises, d’institutions financières et d’organismes publics. Iron Man proposait des modèles d’usurpation, utilisés pour créer des pages d’hameçonnage, c’est-à-dire des pages frauduleuses conçues pour tromper leurs visiteurs.
Microsoft a déclaré avoir désactivé plus de 20 000 comptes liés à YAM Store. L’entreprise a également indiqué que plus de 100 000 domaines utilisés pour l’usurpation d’identité et la fraude étaient bloqués ou en cours de blocage.
Les parties de l’action civile en Floride
L’affaire civile 1:26-cv-26998-JEM est examinée par le tribunal fédéral du district sud de Floride. Microsoft Corporation et Health-ISAC, Inc. y figurent comme demanderesses; Yang Jian, d/b/a Yam Store, Inc., et Does 1–10 sont désignés comme défendeurs. Être désigné comme défendeur dans une action civile ne constitue pas, à lui seul, une décision de justice sur la responsabilité de la personne mise en cause.
Microsoft a annoncé avoir obtenu une ordonnance temporaire de restriction, appelée temporary restraining order (TRO) dans le droit américain. Une ordonnance scellée a été inscrite au dossier le 7 octobre 2026. Microsoft a annoncé l’opération de saisie et de redirection des domaines le 14 octobre.
Les chiffres de Microsoft et les observations de Resecurity
Dans son annonce du 14 octobre, Microsoft estimait que les trois services avaient permis, depuis janvier 2026, l’envoi de plus d’un milliard de messages malveillants visant plus de 75 000 organisations dans plus de 150 pays. Plus de 750 millions de ces messages visaient des clients de Microsoft, selon l’entreprise.
Dans une analyse publiée le même jour, Resecurity a compté 2 360 modèles Iron Man couvrant 130 zones ciblées et 911 versions publiées dans le registre de compilation associé au service. Son catalogue comportait des entrées datées jusqu’au 1er octobre 2026. Resecurity décrit une méthode comprenant l’achat d’une licence, un déploiement en laboratoire isolé, la capture de trafic et l’examen de registres accessibles au public. Ces observations portent sur les éléments relevés avant l’annonce de la saisie.
Ce que révèle la présence d’une organisation dans un modèle
Microsoft précise que la présence d’une entreprise ou d’un organisme public dans un modèle d’hameçonnage ne signifie pas que ses systèmes ont été compromis. Le modèle peut usurper le nom ou l’apparence d’une organisation sans que cela établisse une intrusion dans son infrastructure.
Microsoft décrit YAM Store, CoGUI et Iron Man comme une partie d’un réseau criminel plus vaste.
