Op 14 oktober 2026 meldden Microsoft en het Japan Cybercrime Control Center (JC3) dat domeinen die YAM Store, CoGUI en Iron Man System ondersteunden in beslag waren genomen en omgeleid. Microsoft meldde daarnaast dat het meer dan 20.000 aan YAM Store gekoppelde accounts had uitgeschakeld en meer dan 100.000 domeinen voor imitatie en fraude blokkeerde. Volgens Microsoft ging de ontmanteling door (Microsoft; JC3).
Wat Microsoft en JC3 meldden
De domeinmaatregelen waren gericht op infrastructuur die YAM Store en de phishingdiensten CoGUI, Haozi en Iron Man System met elkaar verbond. Microsoft beschrijft YAM Store als een toegangsbroker: een tussenhandelaar die toegang verkocht tot gecompromitteerde of frauduleus verkregen Microsoft- en Google-cloudomgevingen, accounts, licenties en opslag. De phishingkits boden onder meer nagemaakte pagina’s en hulpmiddelen voor berichten. Microsoft volgt YAM Store onder de naam Storm-3119 en de kits en bijbehorende activiteit onder Storm-2990 (Microsofts technische analyse).
Microsoft en JC3 rapporteerden dat de drie diensten vanaf januari 2026 meer dan 1 miljard kwaadaardige berichten mogelijk maakten, gericht op meer dan 75.000 organisaties wereldwijd. Microsoft zei dat meer dan 750 miljoen van die berichten op Microsoft-klanten waren gericht. De organisaties rapporteerden daarnaast dat consumenten en organisaties in meer dan 150 landen doelwit waren (Microsoft; JC3).
Wat het onderzoek naar Iron Man toevoegt
Resecurity kocht een licentie voor Iron Man System en onderzocht de kit in een geïsoleerd lab. Het bedrijf rapporteerde een catalogus van 2.360 vermeldingen, verdeeld over 130 doelgebieden en 242 land- en regiocodes. De catalogusopname liep tot en met 1 oktober 2026. Resecurity telde ook 911 gepubliceerde buildversies (Resecurity).
Microsoft rapporteerde afzonderlijk meer dan 2.335 Iron Man-sjablonen, afgestemd op meer dan 139 landen. Dat zijn Microsofts eigen aantallen en geografische indeling; Resecurity beschreef een catalogusopname met eigen telcategorieën. Microsoft benadrukte bovendien dat het voorkomen van een organisatie in een phishing-sjabloon op zichzelf geen aanwijzing is dat de systemen van die organisatie zijn gecompromitteerd (Microsoft; Microsofts verklaring).
De partijen en de civiele zaak
De juridische kennisgeving noemt Microsoft Corporation en Health-ISAC, Inc. als eisers, en Yang Jian d/b/a Yam Store, Inc. en Does 1–10 als gedaagden. Microsoft stelt in de zaak dat sprake was van onrechtmatige misleiding, onbevoegde computertoegang en inbreuk op intellectuele-eigendomsrechten. De kennisgeving vermeldt een tijdelijk rechterlijk bevel en dat Microsoft verdere rechterlijke maatregelen en schadevergoeding vordert (juridische kennisgeving).
Microsofts adviezen voor organisaties
Microsoft adviseert onverwachte verzoeken via een vertrouwd kanaal te controleren in plaats van op een link in een bericht te vertrouwen. Ook noemt het bedrijf passkeys en multifactorauthenticatie, minimale toegangsrechten en Conditional Access als maatregelen voor identiteitsbeveiliging. Voor e-mail en netwerken verwijst Microsoft naar beveiligingsinstellingen van Exchange Online Protection en Defender for Office 365 en naar netwerkbeveiliging (Microsofts technische analyse).
