Le 14 octobre 2026, Microsoft et le Japan Cybercrime Control Center (JC3) annoncent que des domaines liés à YAM Store, CoGUI et Iron Man System ont été saisis puis redirigés dans le cadre d’une opération judiciaire. Microsoft indique avoir désactivé plus de 20 000 comptes associés à YAM Store et bloquer plus de 100 000 domaines utilisés pour l’usurpation d’identité et la fraude. L’entreprise précise que le démantèlement se poursuit (Microsoft ; JC3).
Le rôle de YAM Store dans le réseau
Microsoft décrit YAM Store, suivi sous le nom Storm-3119, comme un courtier d’accès initial : le service revendait des environnements cloud compromis ou obtenus frauduleusement, ainsi que des comptes, des licences et du stockage Microsoft et Google. Microsoft associe à Storm-2990 les kits de phishing CoGUI, également appelé NX ou FA, Haozi, aussi appelé Phoenix, et Iron Man System. Ces kits fournissaient notamment des pages d’usurpation et des outils de messagerie (rapport technique de Microsoft).
L’enquête a commencé fin 2025, selon Microsoft, après une alerte de la police nationale japonaise au sujet de campagnes de messages malveillants visant des personnes au Japon. Le Japan Cybercrime Control Center a ensuite transmis des informations sur les répercussions au Japon et des renseignements opérationnels.
Ce que mesurent les chiffres publiés
Depuis janvier 2026, Microsoft et JC3 attribuent aux trois services plus d’un milliard de messages malveillants visant plus de 75 000 organisations dans le monde. Microsoft précise que plus de 750 millions de ces messages étaient destinés à ses clients. Les deux organismes font aussi état de cibles parmi les consommateurs et les organisations dans plus de 150 pays. Ces chiffres sont ceux qu’ils rapportent (déclaration de Microsoft ; communiqué de JC3).
Les nombres consacrés à Iron Man System portent sur des mesures distinctes. Microsoft rapporte plus de 2 335 modèles adaptés à plus de 139 pays. De son côté, Resecurity indique avoir acheté une licence et examiné le kit dans un laboratoire isolé. Son instantané de catalogue, qui comprend des entrées jusqu’au 1er octobre 2026, compte 2 360 entrées et couvre 130 zones ciblées ainsi que 242 codes de pays ou de langue. Resecurity rapporte également 911 versions publiées. Les termes de comptage et les périmètres géographiques diffèrent entre ces deux comptes (Microsoft ; analyse de Resecurity).
Microsoft précise qu’une organisation citée dans un modèle de phishing n’a pas nécessairement subi de compromission de ses propres systèmes. La présence d’une marque ou d’un organisme dans une page d’usurpation ne suffit donc pas à établir une intrusion chez cette entité.
Ce que dit l’avis judiciaire
L’avis de procédure nomme Microsoft Corporation et Health-ISAC, Inc. comme demandeurs, et Yang Jian d/b/a Yam Store, Inc. ainsi que Does 1–10 comme défendeurs. Il indique qu’une ordonnance de restriction temporaire a été obtenue et que les demandeurs sollicitent d’autres mesures d’injonction et des dommages-intérêts. Microsoft y allègue des faits de tromperie, d’intrusion informatique non autorisée et d’atteinte à la propriété intellectuelle (avis de procédure).
Les protections recommandées par Microsoft
Microsoft recommande de vérifier toute demande inattendue par un canal de confiance plutôt qu’en suivant le lien reçu. L’entreprise préconise aussi l’usage de clés d’accès et de l’authentification multifacteur, la limitation des privilèges, l’accès conditionnel et des protections du courrier électronique et du réseau.
