Il 14 ottobre 2026 Microsoft e il Japan Cybercrime Control Center (JC3) riferiscono che i domini collegati a YAM Store, CoGUI e Iron Man System sono stati sequestrati e reindirizzati in base a un provvedimento del tribunale federale del Distretto meridionale della Florida. Microsoft dichiara inoltre di aver disattivato oltre 20.000 account associati a YAM Store e di stare bloccando più di 100.000 domini usati per impersonificazioni e frodi; lo smantellamento, secondo l’azienda, è ancora in corso (Microsoft; JC3).
Le azioni riferite da Microsoft e JC3
Il sequestro e il reindirizzamento hanno riguardato i domini che alimentavano i servizi. I numeri diffusi da Microsoft descrivono altre due misure: oltre 20.000 account collegati a YAM Store disattivati e più di 100.000 domini impiegati per impersonificazioni e frodi sottoposti a blocco. Microsoft riferisce anche la rimozione di infrastrutture ospitate sui propri servizi (Microsoft).
L’indagine, racconta Microsoft, è partita alla fine del 2025 dopo una segnalazione della National Police Agency giapponese su campagne di messaggi malevoli rivolte a persone in Giappone. Il JC3 ha poi fornito informazioni sugli impatti nel Paese e supporto investigativo. La pista ha portato a servizi che fornivano risorse a operatori di phishing in più Paesi.
Il ruolo di YAM Store nella rete
Microsoft descrive YAM Store, tracciato come Storm-3119, come un broker di accesso iniziale: vendeva ambienti cloud, account, licenze e spazio di archiviazione Microsoft e Google compromessi o ottenuti con frode. Gli acquirenti potevano usarli come risorse per le proprie attività. Attraverso il marketplace venivano inoltre pubblicizzati tre kit di phishing: CoGUI, noto anche come NX o FA, Haozi, noto anche come Phoenix, e Iron Man System. Microsoft associa questi kit e le attività dei loro sviluppatori al gruppo di tracciamento Storm-2990 (rapporto tecnico Microsoft).
I kit fornivano pagine per impersonare organizzazioni e strumenti per la messaggistica. Microsoft riferisce di aver osservato campagne legate a queste infrastrutture per sottrarre credenziali, condurre attacchi basati sui codici dispositivo e realizzare frodi finanziarie. La presenza di un’organizzazione in un modello di phishing non indica, secondo Microsoft, che i suoi sistemi siano stati compromessi (dichiarazione di Microsoft).
Che cosa misurano le cifre
Per il periodo iniziato a gennaio 2026, Microsoft e JC3 riferiscono oltre 1 miliardo di messaggi malevoli collegati ai servizi, diretti a più di 75.000 organizzazioni. Le due organizzazioni indicano inoltre obiettivi in oltre 150 Paesi. Microsoft stima che più di 750 milioni di quei messaggi fossero rivolti ai propri clienti: un dato distinto dal totale complessivo (Microsoft; JC3).
Microsoft e JC3 riferiscono le misure operative e la scala delle campagne; la notifica giudiziaria descrive invece la causa civile. Il documento indica come parti attrici Microsoft Corporation e Health-ISAC, Inc. e come convenuti Yang Jian d/b/a Yam Store, Inc. e Does 1–10. Microsoft vi sostiene che siano avvenuti inganno illecito, accesso non autorizzato a sistemi informatici e violazioni della proprietà intellettuale; la notifica riporta anche la richiesta di ulteriori provvedimenti e danni (avviso giudiziario).
L’esame di Iron Man condotto da Resecurity
Resecurity riferisce di aver acquistato una licenza di Iron Man System e di averlo esaminato in un laboratorio isolato. Nel catalogo osservato, con voci aggiornate fino al 1° ottobre 2026, l’azienda conta 2.360 elementi distribuiti su 130 aree di destinazione e 242 codici di Paese o lingua. Resecurity riporta anche 911 versioni pubblicate del software. L’analisi di laboratorio non ha riguardato sistemi di vittime in produzione né installazioni attive di acquirenti (analisi tecnica di Resecurity).
Microsoft stima separatamente oltre 2.335 modelli di Iron Man adattati a più di 139 Paesi (rapporto tecnico Microsoft). Le due descrizioni usano categorie geografiche e di catalogo diverse: i dati di Resecurity riguardano le voci del catalogo e le aree di destinazione, mentre Microsoft parla di modelli e Paesi.
Le difese consigliate da Microsoft
Microsoft raccomanda di verificare le richieste inattese attraverso un canale di fiducia, invece di seguire il link contenuto nel messaggio. Per le organizzazioni suggerisce passkey e autenticazione a più fattori (MFA), accessi con privilegi minimi e Conditional Access, oltre alle protezioni per posta elettronica e rete indicate nel suo rapporto (indicazioni Microsoft).
