Более 750 млн этих сообщений были направлены клиентам Microsoft, сообщила компания. Их получателями стали частные лица, медицинские организации, банки и другие компании более чем в 150 странах. Операторы сервисов заработали на этом десятки миллионов долларов.
«То, что кажется обычным мошенническим сообщением, зачастую представляет собой лишь видимую часть гораздо более масштабной транснациональной киберпреступной операции». Стивен Масада, генеральный менеджер подразделения Microsoft по борьбе с цифровыми преступлениями
След, который привёл в Японию
Расследование началось в конце 2025 года после того, как Национальное полицейское агентство Японии сообщило Microsoft о мошеннических кампаниях, нацеленных на жителей Японии. К расследованию подключились Японский центр по борьбе с киберпреступностью, Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. Microsoft также поделилась разведданными с Секретной службой США и международными партнёрами из правоохранительных органов.
Магазин для мошенников
По словам Microsoft, YAM Store работал почти как обычный интернет-магазин. Пользователи могли просматривать товары и сравнивать цены. Там можно было купить поддельные учётные записи Microsoft и Google, а также готовые инструменты для мошенничества. В некоторых случаях операторы сервиса приобретали домены, срок регистрации которых истёк у некоммерческих организаций и школ. Они восстанавливали сайты, чтобы получать учётные записи Microsoft 365 для последующей продажи. Магазин принимал оплату через Alipay, WeChat Pay и USDT, сообщила служба Microsoft Threat Intelligence.
CoGUI предоставлял преступникам готовые сайты и сообщения, имитировавшие организации, пользующиеся доверием. К середине 2026 года его всё чаще вытеснял более новый сервис под названием Iron Man. Следователи выявили более 2 300 шаблонов Iron Man, имитировавших банки, магазины, медицинские учреждения, полицейские управления и государственные ведомства. По данным Microsoft, большинство приманок Iron Man в США касались транспорта или государственных услуг — например, оплаты дорожных сборов и парковки.
По оценке Microsoft, китайскоязычные злоумышленники с высокой степенью уверенности разработали эти наборы инструментов. Преступники использовали их для кражи паролей и платёжных данных. С помощью украденных данных они покупали дорогие товары или совершали операции на финансовых платформах.
Ликвидация инфраструктуры
Microsoft и Health-ISAC действовали на основании постановления Окружного суда США по Южному округу Флориды. Microsoft отключила более 20 000 учётных записей, связанных с YAM Store. Компания также блокирует более 100 000 доменов, использовавшихся для имитации чужих ресурсов и мошенничества.
«YAM Store, CoGUI и Iron Man — лишь часть более обширной преступной сети, однако борьба с ними затрудняет преступникам доступ к учётным записям, инструментам и инфраструктуре, на которые они полагаются». Стивен Масада, Microsoft
Опубликовано 17 октября 2026 - 12:34 Наверх
