Неоплаченный дорожный сбор? Неудачная доставка? Microsoft предпринимает шаги по ликвидации глобальной площадки киберпреступности

Большинство людей хотя бы раз открывали сообщения, в которых обнаруживали подозрительное срочное уведомление о том, что посылка не может быть доставлена, дорожный сбор не оплачен, банковский счет требует внимания или срок уплаты налогов истек. Детали могут меняться, но цель остается прежней: заставить человека кликнуть по ссылке, поделиться личной информацией или произвести оплату.

Эти сообщения приходят непрерывно. Удалите и заблокируйте одно, и на его месте появится другое. Игнорируйте их, и последуют новые. Попадитесь на одно, и шлюзы откроются. То, что кажется простым мошенническим сообщением, часто является видимой частью гораздо более масштабной транснациональной киберпреступной операции.

Когда Microsoft и Национальное полицейское агентство (NPA) Японии начали отслеживать волну мошенничества, направленную против граждан и предприятий Японии, они ожидали обнаружить отдельные кампании. Вместо этого они оказались внутри обширной китайскоязычной торговой площадки киберпреступников, где злоумышленники могли покупать учетные записи, услуги хостинга и инструменты, используемые для создания поддельных веб-сайтов и онлайн-идентификаторов. Расследование расширилось до глобальных масштабов, вовлекая Японский центр управления киберпреступностью (JC3), Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs для выявления компаний, поддерживающих эту преступную экосистему.

Сегодня Microsoft и Health-ISAC, глобальная некоммерческая организация, помогающая организациям сектора здравоохранения обмениваться информацией о киберугрозах и сотрудничать для повышения операционной устойчивости, предпринимают шаги по ликвидации трех компонентов этой преступной торговой площадки: YAM Store, CoGUI и Iron Man.

С января 2026 года YAM Store, CoGUI и Iron Man в совокупности обеспечили рассылку более одного миллиарда вредоносных сообщений, нацеленных на более чем 75 000 организаций по всему миру, включая более 750 миллионов сообщений, направленных только на клиентов Microsoft. Эти сообщения использовались для атак на потребителей, медицинские учреждения, финансовые институты и другие предприятия в более чем 150 странах, принося их операторам десятки миллионов долларов.

Отслеживание бизнеса, стоящего за мошенничеством

Расследование началось в конце 2025 года после того, как NPA Японии предупредило Microsoft о вредоносных рассылках, нацеленных на жителей Японии. NPA продолжило предоставлять разведданные и следственную поддержку, пока партнеры отслеживали эти кампании до компаний, снабжающих преступников по всему миру.

След привел следователей глубоко в китайскоязычную экосистему киберпреступности, в которую было трудно проникнуть тем, кто не владеет языком. Там они получили доступ к CoGUI, который снабжал преступников готовыми веб-сайтами и сообщениями, имитирующими компании, финансовые институты, государственные органы и другие доверенные организации. Вместо того чтобы самостоятельно создавать мошеннические сайты, преступники могли быстро развертывать страницы, предназначенные для кражи паролей, платежной информации и других личных данных.

По мере расширения расследования Microsoft, разведданные от JC3 помогли подтвердить масштаб деятельности, затрагивающей японские организации и их клиентов. Опираясь на информацию, собранную через свою сеть из более чем 130 организаций-членов, JC3 связал то, что казалось отдельными инцидентами, в более широкую схему мошенничества, направленную против японских компаний и финансовых институтов, включая попытки обмана потребителей и кражи учетных данных и другой конфиденциальной информации.

Одним из названий, которое постоянно всплывало на протяжении всего расследования, был YAM Store. YAM Store работал по принципу интернет-магазина. Клиенты могли просматривать товары, сравнивать цены и покупать мошеннические учетные записи Microsoft и Google, а также другие готовые инструменты, используемые для осуществления мошенничества, включая кражу учетных данных. Контрольные закупки, проведенные Microsoft, помогли подтвердить принцип его работы.

В некоторых случаях операторы приобретали интернет-домены, срок действия которых истек у легитимных организаций, часто нацеливаясь на определенные секторы, такие как некоммерческие и образовательные учреждения, с помощью специализированных предложений. Затем они восстанавливали веб-сайты, чтобы создать видимость активности этих организаций, что позволяло им мошенническим путем получать учетные записи Microsoft 365, которые впоследствии можно было продать через YAM Store.

Готовые инструменты

YAM Store предоставлял преступную инфраструктуру, которая часто использовалась в связке с такими инструментами и сервисами, как CoGUI. По мере того как следователи углублялись в изучение, они обнаружили, что торговая площадка постоянно развивается. CoGUI стал одним из наиболее широко используемых предложений в экосистеме, особенно нацеленным на жертв в Японии и США, но к середине 2026 года его все чаще стали заменять более новым предложением, известным как Iron Man.

Iron Man расширил модель, предоставив преступникам доступ к тысячам готовых шаблонов, предназначенных для имитации доверенных организаций. Преступники могли быстро развертывать электронную почту, текстовый и веб-контент, адаптированный под конкретные бренды, отрасли и страны.

Благодаря тестовым закупкам и работе с Resecurity, следователи получили доступ к Iron Man и идентифицировали более 2 300 шаблонов, имитирующих банки, ритейлеров, медицинские учреждения, транспортные ведомства, полицейские департаменты, государственные органы и другие организации в более чем 150 странах мира. Некоторые из них были разработаны для мошенничества с имитацией государственных органов, используя вид официальной власти, чтобы вынудить жертв произвести платежи или раскрыть конфиденциальную личную информацию. Другие имитировали организации из разных отраслей, стран и языковых сред, от банков и авиакомпаний до телекоммуникационных компаний, ритейлеров и служб доставки посылок.

Примеры этих шаблонов имитации приведены ниже. Важно отметить, что наличие организации или государственного органа в этих шаблонах не означает, что их системы были скомпрометированы.

В blog от Microsoft Threat Intelligence содержится более подробная информация о сети, а также шаги, которые клиенты могут предпринять для своей защиты.

Складывая части пазла вместе

Ни одна организация не видела полной картины. NPA Японии сыграло критически важную роль на протяжении всего расследования, предоставляя разведданные, следственную поддержку и сотрудничество, которые помогли раскрыть принцип работы операции. JC3 помог установить масштаб деятельности, затрагивающей японские организации и потребителей. Health-ISAC предоставил информацию о последствиях для медицинских учреждений, в то время как Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs внесли свой вклад в виде разведданных и следственной поддержки.

Работая вместе и с помощью инструментов ИИ, мы связали учетные записи, веб-сайты и инфраструктуру, которые изначально казались не связанными друг с другом, помогая раскрыть более широкую преступную торговую площадку, стоящую за ними. Microsoft также тесно сотрудничала и обменивалась разведданными с Секретной службой США и международными партнерами по правоохранительным органам.

Это расследование также отражает более широкую тенденцию, освещенную в отчете Microsoft Digital Defense Report этого года: современное мошенничество все чаще опирается на бизнес и услуги, которые облегчают преступникам доступ к большему числу жертв. Потребовался двусторонний обмен информацией между отраслями и через международные границы, чтобы раскрыть, как эти глубоко взаимосвязанные услуги работают вместе.

Борьба с поставщиками

По решению United States District Court for the Southern District of Florida, компании Microsoft и Health-ISAC захватили и перенаправили домены, которые являлись частью базовой инфраструктуры, обеспечивающей работу YAM Store, CoGUI и Iron Man. Microsoft уже заблокировала более 20 000 учетных записей, связанных с YAM Store, и продолжает ликвидацию этой операции, удаляя инфраструктуру, размещенную на своих сервисах, и блокируя более 100 000 доменов, используемых для имитации деятельности и мошенничества.

То, что начиналось как мошенническая деятельность, направленная против людей и организаций в Японии, привело следователей к подпольной сфере услуг, снабжающей преступников по всему миру. YAM Store, CoGUI и Iron Man — это лишь часть более крупной преступной сети, но их нейтрализация затрудняет для преступников получение учетных записей, инструментов и инфраструктуры, на которые они полагаются.

Мошенническое сообщение — это часто единственное, что видят жертвы. Однако именно стоящие за ним компании делают это возможным.

Теги: DCU, Microsoft Digital Crimes Unit, The Digital Crimes Unit