Microsoft uderza w zaplecze masowego phishingu: YAM Store, CoGUI i Iron Man

Fałszywa informacja o paczce, zaległej opłacie albo problemie z kontem wygląda jak pojedyncza próba oszustwa. Za taką wiadomością może jednak stać cały łańcuch dostaw: sprzedawca przejętych kont, gotowy zestaw stron phishingowych, infrastruktura do wysyłki i klient, który wybiera markę oraz język ofiary.

14 października Microsoft i Health-ISAC poinformowały o działaniach wymierzonych w trzy elementy takiego ekosystemu: YAM Store, CoGUI i Iron Man. Na podstawie nakazu sądu w USA przejęto i przekierowano domeny wykorzystywane przez zaplecze operacji. Microsoft podaje, że wyłączył ponad 20 tys. powiązanych kont i blokuje ponad 100 tys. domen używanych do podszywania się oraz oszustw.

Według opisu Microsoft Digital Crimes Unit usługi te od stycznia 2026 roku umożliwiły wysłanie ponad miliarda złośliwych e-maili i SMS-ów do ponad 75 tys. organizacji. Ponad 750 mln wiadomości miało być skierowanych do klientów Microsoftu, a działalność obejmowała ponad 150 państw.

Wniosek Breachroad: operacja utrudnia przestępcom korzystanie z konkretnego zaplecza, ale nie usuwa samego modelu biznesowego phishing-as-a-service. Firma nie powinna traktować informacji o przejęciu domen jako sygnału, że bieżące kampanie zniknęły.

Jak działała przestępcza usługa

YAM Store działał jak sklep z zasobami potrzebnymi do oszustwa. Microsoft opisuje sprzedaż przejętych lub nieuczciwie pozyskanych środowisk Microsoft i Google, kont, licencji oraz przestrzeni do hostowania treści. W niektórych przypadkach operatorzy mieli wykorzystywać wygasłe domeny prawdziwych organizacji, odbudowywać wiarygodnie wyglądające strony i na tej podstawie tworzyć nowe środowiska chmurowe.

CoGUI, Haozi i Iron Man dostarczały gotowe zestawy phishingowe. Klient nie musiał sam projektować formularza banku, operatora przesyłek czy urzędu. Kupował szablon, dostosowywał treść i uruchamiał kampanię. Analiza Microsoft Threat Intelligence wskazuje, że sam Iron Man zawierał ponad 2335 szablonów przygotowanych dla ponad 139 państw.

Zestawy wspierały między innymi:

• podszywanie się pod banki, administrację, ochronę zdrowia, handel i firmy transportowe;
• zbieranie loginów, haseł, danych kart i kodów weryfikacyjnych;
• ograniczanie dostępu do strony według kraju lub adresu IP;
• fałszywe bramki CAPTCHA utrudniające automatyczną analizę;
• powiadamianie operatora w czasie rzeczywistym, gdy ofiara przechodzi przez kolejne ekrany.

Obecność logo firmy w takim szablonie nie oznacza włamania do jej systemów. Microsoft wyraźnie zaznacza, że szablony naśladowały organizacje; nie jest to dowód ich kompromitacji.

Dlaczego przejęta infrastruktura nie kończy zagrożenia

Operacja prawna i techniczna ma znaczenie, bo odbiera dostęp do części domen, kont oraz zaplecza. Przestępcy mogą jednak kupić kolejne domeny, zmienić dostawcę lub przejść na inny zestaw phishingowy. Nie każda kampania powiązana z tym ekosystemem musiała również korzystać z identycznego serwera.

Dla odbiorcy oznacza to prostą zasadę: stara wiadomość nie staje się bezpieczna tylko dlatego, że część infrastruktury została przejęta. Nie należy ponownie otwierać linku „z ciekawości” ani uznawać braku działającej strony za dowód, że nie doszło do ujawnienia danych.

Dla firmy ważniejszy jest jeszcze jeden wniosek. Masowy phishing jest produktem, który można kupić. Próg wejścia jest niższy, a treść może być dopasowana do kraju, branży i marki bez dużych umiejętności technicznych. Obrona nie może więc polegać wyłącznie na ręcznym blokowaniu domen po każdej kampanii.

Co powinien zrobić odbiorca wiadomości

Jeżeli wiadomość wymaga płatności, logowania lub podania danych:

1. nie używaj linku ani numeru telefonu z wiadomości;
2. otwórz oficjalną aplikację lub samodzielnie wpisany adres usługi;
3. sprawdź sprawę w drugim kanale;
4. zgłoś wiadomość, zamiast przesyłać aktywny link kolegom;
5. jeśli podałeś dane, powiadom bank albo firmowy helpdesk bez zwłoki.

Po podaniu hasła sama jego zmiana może nie wystarczyć. Trzeba unieważnić aktywne sesje, sprawdzić metody MFA, reguły poczty, aplikacje z dostępem do konta i ostatnie logowania. Po podaniu danych karty należy skontaktować się z bankiem oficjalnym kanałem i postępować zgodnie z jego instrukcją.

Plan dla firmy na najbliższy tydzień

Pierwszym krokiem jest usunięcie zależności od samej czujności pracownika. Szkolenie ma pomagać rozpoznać presję i zmianę kontekstu, ale po kliknięciu nadal powinny działać warstwy techniczne.

Warto sprawdzić:

• czy pracownik może jednym przyciskiem zgłosić podejrzaną wiadomość;
• czy zespół potrafi szybko unieważnić sesje, a nie tylko zmienić hasło;
• czy konta uprzywilejowane używają odpornego na phishing MFA lub passkeys;
• czy rejestracja nowych metod MFA wymaga zaufanego urządzenia lub dodatkowej kontroli;
• czy filtry poczty i ochrona linków obejmują także wiadomości wewnętrzne;
• czy alerty tożsamości wykrywają nietypowe logowania i zmiany uprawnień;
• czy działy finansów, HR i obsługi klienta ćwiczą scenariusze odpowiadające ich codziennej pracy.

Nie należy komunikować pracownikom wyłącznie nazw YAM Store, CoGUI czy Iron Man. Odbiorca zwykle ich nie zobaczy. Powinien natomiast rozpoznawać zachowanie: pilne żądanie, przejście do logowania z wiadomości, niespodziewaną płatność albo prośbę o kod.

Co jest faktem, a co rekomendacją

Skala wiadomości, opis usług, liczba wyłączonych kont, blokowanych domen i działania sądowe pochodzą z publikacji Microsoftu oraz strony dokumentów postępowania. Są to ustalenia i twierdzenia Microsoftu dotyczące jego dochodzenia.

Ocena, że organizacje powinny traktować phishing jak powtarzalny proces biznesowy przeciwnika, oraz przedstawiony plan kontroli są wnioskami Breachroad. Praktyczną reakcję po wpisaniu danych opisujemy też w poradniku pierwszej godziny po phishingu. Rozpoznawanie takich scenariuszy i bezpieczne zgłaszanie można przećwiczyć podczas szkolenia z cyberbezpieczeństwa i phishingu.