Microsoft poinformował 14 października 2026 r., że sąd federalny na Florydzie zezwolił na tymczasowe działania przeciw infrastrukturze YAM Store, CoGUI i Iron Man. Według firmy domeny wspierające te usługi przejęto i przekierowano. Microsoft podał też, że wyłączył ponad 20 tys. kont powiązanych z YAM Store i blokował ponad 100 tys. domen wykorzystywanych do podszywania się pod inne podmioty. Komunikat prawny Microsoftu opisuje działanie w ramach sprawy cywilnej.

YAM Store sprzedawał dostęp, a CoGUI i Iron Man dostarczały narzędzia

Microsoft opisał YAM Store jako rynek i brokera dostępu początkowego — pośrednika oferującego dostęp do przejętych lub nieuczciwie uzyskanych kont i środowisk Microsoftu oraz Google. CoGUI i Iron Man były natomiast zestawami phishingowymi, czyli pakietami narzędzi ułatwiającymi przygotowanie fałszywych stron i wiadomości podszywających się pod zaufane organizacje. Techniczny opis Microsoftu rozróżnia te role.

Według technicznego opisu Iron Man System oferował ponad 2335 szablonów dostosowanych do ponad 139 krajów. To liczba dotycząca szablonów i ich dostosowania; Microsoft osobno opisał zasięg kampanii obejmujący ponad 150 krajów. W połowie 2026 r. — jak podała firma — przestępcy coraz częściej przechodzili z CoGUI na Iron Man.

Zgłoszone liczby obejmują całość i jej część

Microsoft podał, że od stycznia 2026 r. YAM Store, CoGUI i Iron Man umożliwiły wysłanie ponad miliarda złośliwych wiadomości. Ponad 750 mln z nich było skierowanych do klientów Microsoftu, a kampanie obejmowały ponad 75 tys. organizacji na świecie. Liczba dotycząca klientów Microsoftu mieści się w szerszym, podanym przez firmę łącznym wyniku.

Microsoft przypisał sobie wyłączenie ponad 20 tys. kont powiązanych z YAM Store oraz blokowanie ponad 100 tys. domen służących do podszywania się i oszustw. Firma oszacowała też przychody operatorów na dziesiątki milionów dolarów. Są to dane i szacunki przedstawione przez Microsoft w komunikacie o sprawie.

Sprawa cywilna i tymczasowy nakaz

Powodami w sprawie przed federalnym sądem dla Południowego Okręgu Florydy są Microsoft Corporation i Health-ISAC, Inc. W komunikacie Microsoft wskazał jako pozwanych Yang Jian, prowadzącego działalność jako Yam Store, Inc., oraz Does 1–10. Firma zarzuca pozwanym bezprawne działania; opisuje też uzyskanie tymczasowego zakazu sądowego i wykorzystanie go do przejęcia oraz przekierowania domen.

Dochodzenie rozpoczęło się po tym, jak pod koniec 2025 r. japońska Narodowa Agencja Policji powiadomiła Microsoft o kampaniach wymierzonych w osoby w Japonii. Japan Cybercrime Control Center (JC3) przekazywało informacje, które — według Microsoftu — pomogły łączyć incydenty i oceniać ich wpływ na japońskie organizacje oraz klientów. Firma wymieniła również Resecurity, Cloudflare, Oracle, Proofpoint i TRM Labs wśród podmiotów wspierających analizę i dochodzenie.