Le 14 octobre 2026, Microsoft a annoncé que Health-ISAC et lui avaient saisi et redirigé des domaines associés à YAM Store, CoGUI et Iron Man, trois services liés à des campagnes d’hameçonnage. L’opération s’appuie, selon Microsoft, sur une ordonnance du tribunal fédéral du district sud de Floride. L’en-tête du dossier judiciaire indique qu’une ordonnance scellée a été inscrite le 7 octobre; Cybersecurity Dive rapporte que le juge avait accordé la demande. Microsoft a annoncé l’opération le 14 octobre.
Les dates clés de l’opération
| Date | Événement |
| Fin 2025 | La police nationale japonaise a alerté Microsoft au sujet de campagnes de messages malveillants visant des personnes au Japon; Microsoft situe le début de son enquête après ce signalement. |
| 7 octobre 2026 | Une ordonnance scellée a été inscrite au dossier du tribunal fédéral du district sud de Floride. Cybersecurity Dive rapporte que le juge a accordé la demande de Microsoft et de Health-ISAC. Dossier judiciaire · Cybersecurity Dive |
| 14 octobre 2026 | Microsoft a annoncé la saisie et la redirection de domaines associés à YAM Store, CoGUI et Iron Man. |
Trois services aux rôles distincts
Microsoft décrit YAM Store comme une place de marché proposant des comptes et des environnements cloud frauduleusement obtenus. CoGUI fournissait des sites et des messages prêts à l’emploi pour se faire passer pour des entreprises, des établissements financiers ou des organismes publics. Iron Man proposait un catalogue de modèles d’usurpation. Le rapport technique de Microsoft décrit le fonctionnement de cet écosystème et les moyens de paiement de YAM Store.
Microsoft indique qu’au milieu de 2026, Iron Man remplaçait de plus en plus CoGUI dans cet écosystème. Microsoft et Resecurity ont également identifié plus de 2 300 modèles Iron Man associés à des organisations dans plus de 150 pays.
Les chiffres rapportés par Microsoft
Depuis janvier 2026, YAM Store, CoGUI et Iron Man auraient permis l’envoi de plus d’un milliard de messages malveillants ciblant plus de 75 000 organisations dans plus de 150 pays, selon Microsoft. L’entreprise estime que plus de 750 millions de ces messages visaient ses propres clients. Ces chiffres portent sur des messages et des organisations ciblées; ils ne signifient pas que chaque tentative a abouti à une compromission.
Microsoft a aussi indiqué avoir désactivé plus de 20 000 comptes liés à YAM Store. Au 14 octobre, l’entreprise disait poursuivre la suppression d’infrastructures hébergées sur ses services et le blocage de plus de 100 000 domaines utilisés pour l’usurpation d’identité et la fraude.
La présence d’une organisation dans un modèle Iron Man ne signifie pas que ses systèmes ont été compromis, précise Microsoft. Un modèle d’hameçonnage peut reprendre le nom ou l’apparence d’une organisation sans que cela établisse une intrusion dans son réseau.
