Il 14 ottobre 2026 Microsoft e Health-ISAC hanno annunciato il sequestro e il reindirizzamento dei domini associati a YAM Store, CoGUI e Iron Man. Microsoft ha riferito di aver disattivato oltre 20.000 account collegati a YAM Store e di stare bloccando più di 100.000 domini usati per impersonificazione e frodi.
I tre servizi avevano ruoli diversi
Secondo Microsoft, YAM Store vendeva account Microsoft e Google ottenuti in modo fraudolento e strumenti per le truffe. CoGUI forniva siti web e messaggi già pronti per impersonare aziende, istituti finanziari ed enti pubblici; Iron Man offriva modelli per creare pagine di impersonificazione.
Microsoft ha descritto i tre servizi come parte di una rete criminale più ampia. L’operazione annunciata riguarda i domini associati a questi servizi e le misure sugli account e sui domini indicate dall’azienda.
Le parti indicate nella causa civile
Il caso 1:26-cv-26998-JEM è stato aperto presso la corte federale del distretto meridionale della Florida. L’avviso di Microsoft indica Microsoft Corporation e Health-ISAC, Inc. come ricorrenti, e Yang Jian, con la denominazione Yam Store, Inc., e Does 1–10 come convenuti.
Microsoft ha comunicato di aver ottenuto un’ordinanza restrittiva temporanea e ha descritto le misure richieste dai ricorrenti. Il documento sigillato numero 20 risulta inserito nel registro del tribunale il 7 ottobre 2026.
Le stime e le osservazioni tecniche
Nella stima diffusa il 14 ottobre, Microsoft attribuisce ai tre servizi oltre un miliardo di messaggi malevoli inviati da gennaio 2026, diretti a più di 75.000 organizzazioni in oltre 150 Paesi. Più di 750 milioni di quei messaggi erano rivolti ai clienti Microsoft.
Nell’analisi pubblicata il 14 ottobre 2026, Resecurity ha riferito di aver contato 2.360 modelli Iron Man in 130 aree obiettivo e 911 versioni pubblicate. Il catalogo conteneva voci aggiornate fino al 1° ottobre. Resecurity ha descritto una metodologia basata su una licenza acquistata, un laboratorio isolato, la cattura del traffico e l’esame dei registri pubblici. Queste date collocano le osservazioni prima dell’annuncio della disruption.
La presenza di un’azienda o di un ente pubblico in un modello Iron Man non indica che i suoi sistemi siano stati violati: Microsoft ha esplicitato questa distinzione nel suo annuncio.
