Microsoft en Health-ISAC namen domeinen die verband hielden met YAM Store, CoGUI en Iron Man in beslag en leidden ze om. Microsoft maakte de actie op 14 oktober 2026 bekend. Een verzegeld rechterlijk bevel was op 7 oktober geregistreerd bij de federale rechtbank voor het zuidelijke district van Florida. Cybersecurity Dive berichtte dat de rechter het verzoek van Microsoft en Health-ISAC had toegewezen; Microsoft beschreef de domeinactie.
Drie diensten met verschillende rollen
Microsoft omschreef YAM Store als een marktplaats voor frauduleus verkregen cloudaccounts en infrastructuur. CoGUI leverde kant-en-klare websites en berichten die onder meer bedrijven, financiële instellingen en overheidsdiensten nabootsten. Iron Man bood phishingtemplates: kant-en-klare ontwerpen voor misleidende websites en berichten.
Volgens Microsoft begon het onderzoek eind 2025, nadat de National Police Agency (NPA) van Japan het bedrijf had gewaarschuwd voor kwaadaardige berichten aan mensen in Japan. Het Japan Cybercrime Control Center (JC3) hielp incidenten met elkaar in verband te brengen aan de hand van informatie uit een netwerk van meer dan 130 aangesloten organisaties.
Microsoft meldde dat Iron Man medio 2026 CoGUI steeds vaker verving. De drie diensten vervulden dus verschillende rollen in een phishingaanbod dat volgens het bedrijf in de loop van 2026 veranderde.
De omvang die Microsoft rapporteerde
In de aankondiging van 14 oktober schreef Microsoft de drie diensten sinds januari 2026 meer dan 1 miljard kwaadaardige berichten toe. Die berichten waren volgens het bedrijf gericht op meer dan 75.000 organisaties in meer dan 150 landen. Meer dan 750 miljoen berichten waren gericht op Microsoft-klanten.
Microsoft meldde ook dat het meer dan 20.000 accounts die met YAM Store verband hielden had uitgeschakeld. Op 14 oktober was het bedrijf bezig infrastructuur op zijn diensten te verwijderen en meer dan 100.000 domeinen te blokkeren die voor imitatie en fraude werden gebruikt.
Een template is geen bewijs van een hack
Microsoft en Resecurity identificeerden meer dan 2.300 Iron Man-templates die organisaties in meer dan 150 landen nabootsten. Microsoft benadrukte dat de aanwezigheid van een organisatie in zo’n template niet betekent dat de systemen van die organisatie waren gecompromitteerd.
