Microsoft en Health-ISAC maakten op 14 oktober 2026 bekend dat ze domeinen rond YAM Store, CoGUI en Iron Man in beslag hadden genomen en omleidden. Microsoft meldde daarnaast dat meer dan 20.000 aan YAM Store gekoppelde accounts waren uitgeschakeld en dat meer dan 100.000 domeinen voor imitatie en fraude werden geblokkeerd.
De drie diensten achter de aankondiging
Volgens Microsoft verkocht YAM Store frauduleuze Microsoft- en Google-accounts en hulpmiddelen voor oplichting. CoGUI leverde kant-en-klare websites en berichten die bedrijven, financiële instellingen en overheidsinstanties nabootsten. Iron Man bood sjablonen voor zulke imitatiecampagnes.
Microsoft beschreef de diensten als onderdeel van een groter crimineel netwerk. De aankondiging betrof de domeinen rond de drie diensten; de genoemde maatregelen waren het uitschakelen van accounts en het blokkeren van domeinen.
Wie staan er in de civiele zaak?
Microsoft Corporation en Health-ISAC, Inc. zijn de eisers in zaak 1:26-cv-26998-JEM bij de U.S. District Court for the Southern District of Florida. Als gedaagden noemt de zaak Yang Jian, handelend als Yam Store, Inc., en Does 1–10. Een vermelding als gedaagde is geen rechterlijke vaststelling van aansprakelijkheid.
Microsoft meldde dat het een tijdelijk rechterlijk bevel had verkregen. Op 7 oktober 2026 werd een verzegeld bevel in het dossier geregistreerd. De domeinactie werd op 14 oktober aangekondigd.
Microsofts raming en Resecurity’s technische waarnemingen
Microsoft schatte dat de drie diensten sinds januari 2026 samen meer dan één miljard kwaadaardige berichten mogelijk maakten, gericht op meer dan 75.000 organisaties in ruim 150 landen. Volgens Microsoft waren meer dan 750 miljoen van die berichten gericht op klanten van Microsoft. Dit zijn ramingen van Microsoft.
In een analyse van 14 oktober 2026 telde Resecurity 2.360 Iron Man-sjablonen voor 130 doelgebieden en 911 gepubliceerde buildversies in een bijbehorend register. De catalogus bevatte vermeldingen tot en met 1 oktober. Resecurity baseerde zijn onderzoek op een gekochte licentie, gebruik in een geïsoleerde labomgeving, het vastleggen van uitgaand netwerkverkeer en onderzoek van registervermeldingen.
Een sjabloon is geen bewijs van een inbraak
Dat een bedrijf of overheidsinstantie in een Iron Man-sjabloon voorkomt, bewijst niet dat de systemen van die organisatie zijn gehackt. Microsoft maakte dat onderscheid expliciet. De vermelding laat zien dat een dienst of organisatie als imitatievoorbeeld in een catalogus staat, niet dat een specifieke campagne succesvol was.
