Microsoft пресекла работу подпольных сервисов YAM Store, CoGUI и Iron Man, замешанных в киберпреступности. С января 2026 года с их помощью злоумышленники отправили более миллиарда мошеннических сообщений пользователям и организациям в более чем 150 странах. Расследование началось после сигналов из Японии и помогло выявить международную сеть по продаже доступа к аккаунтам Microsoft 365 и инструментов для фишинга.
Как Microsoft вышла на сеть, рассылавшую миллиард мошеннических сообщений
В октябре 2025 года японская полиция начала расследовать фишинговые атаки на жителей и организации страны. Злоумышленники рассылали сообщения от имени банков и компаний, заманивая получателей на поддельные сайты для кражи паролей и платежных данных.
Позднее полиция передала сведения о мошеннических рассылках Microsoft. К расследованию также подключился японский центр борьбы с киберпреступностью JC3, который предоставил данные, собранные при участии местных организаций. Это помогло выявить международную сеть сервисов, которыми пользовались злоумышленники.
Чтобы пресечь работу преступной инфраструктуры, Microsoft обратилась в суд США совместно с Health-ISAC, некоммерческой организацией по обмену информацией о киберугрозах в здравоохранении. Health-ISAC выступила соистцом и предоставила сведения об угрозах для медицинских учреждений.
Иск подали 6 октября 2026 года, а уже 8 октября суд разрешил передать под контроль Microsoft или отключить домены YAM Store, CoGUI и Iron Man. Кроме того, компания отключила более 20 тысяч аккаунтов, связанных с YAM Store, и заблокировала более 100 тысяч доменов, которые использовались для мошенничества.
Не дайте мошенникам украсть ваши данные
Поддельные сайты банков и онлайн-сервисов могут выглядеть почти как настоящие. Kaspersky Premium блокирует доступ к фишинговым страницам, чтобы ваши пароли и платежные данные не попали к злоумышленникам.
Попробовать бесплатноТри сервиса, которые превратили фишинг в массовый бизнес
YAM Store, CoGUI и Iron Man выполняли разные задачи в преступной сети. YAM Store представлял собой подпольный интернет-магазин, который работал на обычном сайте yam.ink, доступном в открытом интернете. CoGUI и Iron Man были платными сервисами с готовыми инструментами для фишинга, которые рекламировали в том числе через YAM Store.
YAM Store продавал аккаунты и инфраструктуру для атак
YAM Store работал как интернет-магазин для киберпреступников. По данным Microsoft, на площадке продавали скомпрометированные или полученные обманным путем аккаунты Microsoft и Google, а также доступ к облачным ресурсам.
В некоторых случаях продавцы получали домены организаций с истекшим сроком регистрации и восстанавливали их сайты. Затем эти адреса и сведения о прежних владельцах использовались, чтобы обманом создавать учетные записи Microsoft 365 для перепродажи.
CoGUI и Iron Man помогали подделывать сайты банков и компаний
Сервисы CoGUI и Iron Man предоставляли готовые инструменты для фишинговых атак. С их помощью злоумышленники создавали мошеннические сообщения и поддельные страницы входа, которые выглядели как настоящие сайты коммерческих компаний и государственных ведомств.
CoGUI активно использовали для фишинговых атак на жителей Японии и США. В июне 2026 года на CoGUI начали продавать доступ к еще одному сервису для фишинга — Iron Man. Он предлагал более 2300 готовыхшаблонов для создания поддельных страниц банков, магазинов, транспортных компаний и госучреждений.
Как проходили фишинговые атаки
Атаки начинались с электронного письма или мошеннического SMS. Например, получателю сообщали о проблемах с доставкой, неоплаченном проезде по платной дороге или необходимости срочно проверить банковский счет. Ссылка в сообщении вела на поддельную страницу входа или оплаты. Если человек вводил логин, пароль, реквизиты карты или другую личную информацию, эти данные получали злоумышленники.
Украденные учетные данные преступники использовали для доступа к чужим аккаунтам. Если один пароль применялся в нескольких сервисах, под угрозой оказывались и другие учетные записи.
Microsoft также выявила случаи захвата облачных сред Microsoft 365. Злоумышленники получали права администраторов, меняли пароли и использовали корпоративные хранилища OneDrive и SharePoint. Доступ к части захваченных аккаунтов и облачных ресурсов затем перепродавали через YAM Store.
По оценке Microsoft, с января по середину октября 2026 года с помощью преступных сервисов отправили более миллиарда мошеннических сообщений. При этом компания не уточняет, сколько людей действительно передали свои данные преступникам и сколько аккаунтов было захвачено.
Защитите аккаунты от утечек данных в даркнет
Kaspersky Premium помогает создавать надежные уникальные пароли, сохраняет их в защищенном хранилище и предупреждает, если ваши данные скомпрометированы
Попробовать Kaspersky Premium бесплатноЧто Microsoft удалось заблокировать и почему угроза еще не исчезла
Microsoft отключила более 20 тысяч аккаунтов, связанных с YAM Store, и заблокировала более 100 тысяч доменов, использовавшихся для фишинга. Домены YAM Store, CoGUI и Iron Man, изъятые по решению суда, перенаправили на страницы с уведомлением о блокировке преступной инфраструктуры.
В операции участвовала и компания Cloudflare. Она разместила предупреждения для пользователей, переходивших по части мошеннических ссылок, отключила связанные с атаками проекты Cloudflare Workers и заблокировала аккаунты злоумышленников.
Однако преступники способны регистрировать новые домены и создавать другую инфраструктуру. По данным Proofpoint, операторы CoGUI и двух связанных с ним наборов для фишинга регулярно меняли адреса поддельных сайтов. Только с 1 июля по 17 сентября 2026 года исследователи обнаружили 3788 доменных имен, которые использовались в этих кампаниях.
Как защитить аккаунты Microsoft и другие данные от фишинга
Если в письме или SMS вам предлагают перейти по ссылке, чтобы подтвердить данные, проверить платеж или войти в аккаунт, не спешите ее открывать. Вместо этого самостоятельно зайдите на официальный сайт организации или в ее приложение. Знакомый логотип и оформление не гарантируют, что страница настоящая.
Совет от наших специалистов: установите Kaspersky Premium. Он помогает защититься от мошеннических сайтов, даже если вы уже перешли по этой ссылке. Решение автоматически проверяет веб-страницы и предупреждает об обнаруженных угрозах, чтобы вы не передали злоумышленникам пароли, реквизиты карт и другие личные данные.
Если вы все же ввели пароль на поддельном веб-ресурсе, самостоятельно откройте официальный сайт соответствующего сервиса и смените пароль в настройках безопасности. Если использовали его для других аккаунтов, замените и там. Затем проверьте историю входов и завершите подозрительные сеансы. Для личного аккаунта Microsoft предусмотрена функция выхода со всех устройств, но процесс может занять до 24 часов.
Если пострадала рабочая учетная запись Microsoft 365, сообщите ИТ-администратору. Он поможет отозвать активные сеансы, проверить настройки безопасности и восстановить контроль над аккаунтом.
Если вы указали на мошеннической странице реквизиты банковской карты, немедленно свяжитесь с банком, заблокируйте карту и запросите ее перевыпуск. Проверьте последние операции и сообщите о подозрительных списаниях, чтобы банк рассмотрел возможность их оспаривания.
Общие рекомендации по кибербезопасности остаются общими для всех. Для входа в почту, соцсети, онлайн-банки и другие сервисы используйте разные длинные пароли. Там, где это возможно, включите двухфакторную аутентификацию. Если сервис поддерживает ключи доступа — passkeys, отдавайте предпочтение им. С ними вы можете входить в аккаунт без пароля, подтверждая личность отпечатком пальца, распознаванием лица или PIN-кодом устройства. Такие ключи привязаны к конкретному сайту и не работают на его поддельной копии.
Статьи и ссылки по теме:
- Что такое фишинг? Как распознать и избежать фишинговых атак
- Что такое смишинг и как от него защититься
- Что делать, если вы стали жертвой фишинговой атаки?
Рекомендуемые продукты:
