Microsoft i Health-ISAC poinformowały o przejęciu i przekierowaniu domen powiązanych z YAM Store, CoGUI i Iron Man na podstawie nakazu Sądu Okręgowego Stanów Zjednoczonych dla Południowego Dystryktu Florydy. Microsoft ogłosił tę operację 14 października 2026 r. (komunikat Microsoftu).
Nakaz i chronologia działania
| Data lub okres | Wydarzenie |
| Koniec 2025 r. | Japan National Police Agency poinformowała Microsoft o kampaniach złośliwych wiadomości wymierzonych w osoby w Japonii; według Microsoftu od tego zgłoszenia rozpoczęło się śledztwo. |
| Połowa 2026 r. | Microsoft informował, że Iron Man coraz częściej zastępował CoGUI w ekosystemie usług. |
| 7 października 2026 r. | W aktach sądowych odnotowano wpisanie zapieczętowanego nakazu. (Dokument sądowy). Cybersecurity Dive podał, że tego dnia sędzia uwzględnił wniosek Microsoftu i Health-ISAC o przejęcie domen. (Relacja Cybersecurity Dive) |
| 14 października 2026 r. | Microsoft ogłosił, że wraz z Health-ISAC przejął i przekierował domeny powiązane z YAM Store, CoGUI i Iron Man. (Komunikat Microsoftu) |
Śledztwo zaczęło się po zgłoszeniu z Japonii, a Japan Cybercrime Control Center pomagało łączyć incydenty, korzystając z informacji sieci ponad 130 organizacji członkowskich. Microsoft wymienił też Health-ISAC, Resecurity, Cloudflare, Oracle, Proofpoint i TRM Labs jako podmioty, które wspierały działania wywiadowcze lub dochodzeniowe.
Trzy usługi, różne role
Microsoft opisał YAM Store jako rynek oferujący oszukańczo pozyskane lub przejęte konta i środowiska chmurowe oraz związaną z nimi infrastrukturę. CoGUI dostarczał gotowe strony i wiadomości podszywające się pod firmy, instytucje finansowe, urzędy i inne zaufane podmioty. Iron Man zapewniał zestawy szablonów wykorzystywanych do podobnego podszywania się. (Opis Microsoftu; raport techniczny Microsoftu)
W połowie 2026 r. Iron Man coraz częściej zastępował CoGUI, według Microsoftu. To zmiana w popularności usług, nie informacja o zakończeniu działania całego ekosystemu.
Jaką skalę kampanii podał Microsoft?
Microsoft oszacował, że od stycznia 2026 r. YAM Store, CoGUI i Iron Man umożliwiły wysłanie ponad miliarda złośliwych wiadomości, wymierzonych w ponad 75 tys. organizacji w ponad 150 krajach. Z tej liczby ponad 750 mln wiadomości miało być skierowanych do klientów Microsoftu. (Dane Microsoftu)
W komunikacie z 14 października Microsoft podał również, że wyłączył ponad 20 tys. kont powiązanych z YAM Store i kontynuował blokowanie ponad 100 tys. domen wykorzystywanych do podszywania się i oszustw. To liczby przypisane działaniom firmy w jej komunikacie.
Microsoft i Resecurity zidentyfikowały ponad 2300 szablonów Iron Man, w których podszywano się pod organizacje z ponad 150 krajów. Microsoft zaznaczył, że obecność organizacji w takim szablonie nie oznacza, iż jej systemy zostały naruszone.
