Microsoft совместно с Центром обмена информацией и анализа угроз для здравоохранения (Health-ISAC) успешно ликвидировала инфраструктуру трёх киберпреступных сервисов, связанных с Китаем: YAM Store, CoGUI и Iron Man. Согласно данным компании, начиная с января 2026 года, эти платформы были задействованы в распространении более чем миллиарда вредоносных сообщений, адресованных более чем 75 тысячам организаций по всему миру, охватив при этом более 150 стран. Среди получателей было направлено свыше 750 миллионов писем, предназначенных для клиентов Microsoft. Предполагается, что доходы операторов этих сервисов составили десятки миллионов долларов.

Расследование было инициировано в конце 2025 года после того, как Национальное полицейское агентство Японии уведомило Microsoft о мошеннических действиях, направленных против жителей страны. В процессе расследования приняли участие Японский центр по борьбе с киберпреступностью, а также ряд компаний, специализирующихся на кибербезопасности и анализе угроз, включая Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. Microsoft также передавала собранную информацию в Секретную службу США и международным правоохранительным органам.

Предлагаемые сервисы предоставляли преступникам разнообразные инструменты для осуществления их деятельности. YAM Store функционировал как интернет-магазин, где покупатели могли приобрести поддельные учётные записи Microsoft и Google, а также готовые инструменты для проведения мошеннических кампаний. В отдельных случаях операторы использовали доменные имена, срок регистрации которых угас у некоммерческих организаций и учебных заведений. Восстанавливая веб-сайты на этих доменах, они создавали инфраструктуру для получения учётных записей Microsoft 365 с последующей перепродажей. В качестве способов оплаты использовались Alipay, WeChat Pay и криптовалюта USDT.

CoGUI предоставлял готовые сайты и сообщения, маскирующиеся под коммуникации от организаций, которым пользователи обычно доверяют. К середине 2026 года его активное использование постепенно сокращалось из-за появления более современного сервиса Iron Man. Аналитики выявили у последнего более 2300 шаблонов, имитирующих оформление банковских учреждений, торговых точек, медицинских организаций, полицейских подразделений и государственных ведомств. В Соединенных Штатах многие фишинговые сообщения были связаны с транспортом и государственными услугами, например, уведомлениями об оплате штрафов за нарушение правил дорожного движения или парковки.

Предоставленная информация давала злоумышленникам возможность приобретать предметы роскоши или осуществлять финансовые транзакции. Кроме того, платформы не ограничивались предоставлением шаблонов сообщений, но и предлагали готовую инфраструктуру, значительно облегчавшую организацию атак на множество потенциальных жертв.

Действия Microsoft и Health-ISAC были предприняты в соответствии с постановлением Окружного суда США по Южному округу Флориды. Компания Microsoft заявила о деактивации более чем 20 тысяч аккаунтов, связанных с YAM Store, а также о блокировке свыше 100 тысяч доменных имен, которые использовались для создания поддельных сайтов и осуществления мошеннических действий. Принятые меры создают препятствия для функционирования указанных трёх сервисов, однако компания подчеркивает, что они являются лишь частью более масштабной сети киберпреступников.