Microsoft i Health-ISAC 14 października 2026 r. ogłosiły zajęcie i przekierowanie domen powiązanych z YAM Store, CoGUI i Iron Man. Microsoft podał również, że wyłączono ponad 20 tys. kont powiązanych z YAM Store i objęto blokowaniem ponad 100 tys. domen używanych do podszywania się i oszustw.
Według Microsoftu te trzy usługi umożliwiły od stycznia 2026 r. wysłanie ponad miliarda złośliwych wiadomości. Sprawa toczy się w sądzie cywilnym na Florydzie, a liczby pochodzą z szacunków firmy.
Jak działały YAM Store, CoGUI i Iron Man
Microsoft opisał YAM Store jako internetowy rynek, na którym sprzedawano fałszywe konta Microsoft i Google oraz narzędzia wykorzystywane w oszustwach. CoGUI dostarczał gotowe strony internetowe i wiadomości podszywające się pod firmy, instytucje finansowe i urzędy. Iron Man oferował szablony do takich kampanii.
Według Microsoftu Iron Man zyskiwał na znaczeniu i w połowie 2026 r. coraz częściej zastępował CoGUI. Usługi te miały ułatwiać przygotowywanie kampanii, z których korzystali oszuści.
Kto występuje w sprawie cywilnej
W sprawie 1:26-cv-26998-JEM przed Sądem Okręgowym Stanów Zjednoczonych dla Południowego Dystryktu Florydy powodami są Microsoft Corporation i Health-ISAC, Inc. Jako pozwanych wymieniono Yang Jian d/b/a Yam Store, Inc. oraz Does 1–10. Microsoft podał, że uzyskał tymczasowy nakaz sądowy. Zawiadomienie o sprawie wskazuje jej strony i numer.
Co mówią liczby i obserwacje techniczne
Microsoft szacuje, że od stycznia 2026 r. YAM Store, CoGUI i Iron Man umożliwiły wysłanie złośliwych wiadomości do ponad 75 tys. organizacji w ponad 150 krajach. Ponad 750 mln wiadomości miało być skierowanych do klientów Microsoftu. Firma podała też, że wyłączono ponad 20 tys. kont powiązanych z YAM Store, a ponad 100 tys. domen używanych do podszywania się i oszustw objęto blokowaniem.
Resecurity w analizie opublikowanej 14 października 2026 r. podało, że katalog Iron Man zawierał 2360 szablonów obejmujących 130 obszarów docelowych. W rejestrze kompilacji odnotowano 911 opublikowanych wersji, a wpisy katalogu sięgały 1 października 2026 r. Resecurity opisało, że analizę przeprowadziło z użyciem kupionej licencji i odizolowanego środowiska laboratoryjnego, przechwytując ruch sieciowy oraz przeglądając publiczny rejestr.
Co wynika z obecności organizacji w szablonie
Samo pojawienie się firmy lub urzędu w szablonie phishingowym nie dowodzi, że zaatakowano jego systemy. Microsoft wyraźnie rozdzielił obecność organizacji w katalogu od włamania do jej infrastruktury.
Microsoft opisał YAM Store, CoGUI i Iron Man jako część szerszej sieci przestępczej. Resecurity datuje ostatnie obserwowane wpisy katalogowe na 1 października, przed ogłoszeniem operacji 14 października.
