Microsoft i Health-ISAC informują o przejęciu domen powiązanych z YAM Store

14 października 2026 r. Microsoft i Health-ISAC informują o przejęciu i przekierowaniu domen obsługujących YAM Store, CoGUI i Iron Man System. Microsoft podaje, że wyłączył ponad 20 tys. kont powiązanych z YAM Store i blokuje ponad 100 tys. domen wykorzystywanych do podszywania się i oszustw. JC3 publikuje własny komunikat o działaniach partnerów, a Microsoft opisuje demontaż infrastruktury jako nadal trwający (Microsoft; JC3).

Jaką rolę pełniły YAM Store i zestawy phishingowe

Microsoft opisuje YAM Store jako brokera dostępu początkowego — sprzedawcę dostępu do przejętych lub wyłudzonych środowisk chmurowych oraz powiązanych kont, licencji i przestrzeni dyskowej Microsoft i Google. Microsoft śledzi YAM Store pod oznaczeniem Storm-3119, a aktywność związaną z zestawami CoGUI, Haozi i Iron Man System jako Storm-2990. CoGUI występuje też pod nazwami NX i FA, a Haozi — jako Phoenix (raport Microsoftu).

Zestawy dostarczały strony podszywające się pod organizacje oraz narzędzia do obsługi kampanii phishingowych. W Iron Man System Microsoft opisał m.in. geofencing, fałszywe testy CAPTCHA, listy adresów IP, ustawienia utrudniające wykrycie oraz powiadomienia przez Telegram. Mechanizm oparty na WebSocketach miał umożliwiać interakcję z ofiarą w czasie rzeczywistym.

Co mówią liczby

Microsoft i JC3 podają, że od stycznia 2026 r. usługi umożliwiły wysłanie ponad 1 mld złośliwych wiadomości skierowanych do ponad 75 tys. organizacji na świecie. Według tych instytucji kampanie obejmowały konsumentów i organizacje w ponad 150 krajach. Microsoft dodaje, że ponad 750 mln wiadomości było skierowanych do jego klientów (Microsoft; JC3).

Osobne dane dotyczą katalogu Iron Man System. Microsoft szacuje, że zestaw obejmował ponad 2335 szablonów przygotowanych dla ponad 139 krajów. Resecurity kupiła licencję i uruchomiła zestaw w odizolowanym laboratorium; w migawce katalogu z 1 października 2026 r. odnotowała 2360 wpisów, 130 obszarów docelowych i 242 kody krajów lub języków. Resecurity podała również 911 opublikowanych wersji kompilacji. Jej obserwacje pochodzą z własnej analizy laboratoryjnej, a nie z wdrożeń u ofiar ani z aktywnych wdrożeń klientów (Microsoft; Resecurity).

Co zawiera zawiadomienie sądowe

Zawiadomienie dotyczące sprawy przed Sądem Okręgowym Stanów Zjednoczonych dla Południowego Dystryktu Florydy wymienia Microsoft Corporation i Health-ISAC, Inc. jako powodów, a Yang Jian d/b/a Yam Store, Inc. oraz Does 1–10 jako pozwanych. Microsoft zarzuca w nim bezprawne wprowadzanie w błąd, nieuprawniony dostęp do komputerów i naruszenie praw własności intelektualnej. Zawiadomienie podaje, że Microsoft uzyskał tymczasowy zakaz sądowy i wnosi o dalsze środki nakazowe oraz odszkodowanie (zawiadomienie dotyczące sprawy).

Jak ograniczać ryzyko phishingu

Microsoft zaleca, by nieoczekiwane prośby sprawdzać zaufanym kanałem, zamiast korzystać z linku w wiadomości. W organizacjach wskazuje na klucze dostępu (passkeys), uwierzytelnianie wieloskładnikowe (MFA), zasadę najmniejszych uprawnień i Conditional Access. Wymienia też ochronę poczty w Exchange Online Protection i Defender for Office 365 oraz zabezpieczenia sieciowe (zalecenia Microsoftu).