Microsoft и Япония раскрыли сеть киберпреступников, которая атаковала организации в более чем 150 странах

Компания Microsoft совместно с Национальным полицейским агентством Японии раскрыла международную сеть киберпреступников, которая с января 2026 года разослала более миллиарда фишинговых сообщений. Они были направлены против более 75 тысяч организаций в более чем 150 странах, а более 750 миллионов сообщений были адресованы клиентам Microsoft. Компания заблокировала более 20 тысяч учетных записей и взяла под контроль более 100 тысяч доменов, связанных с мошеннической деятельностью.

Как сообщила Microsoft в блоге, расследование помогло выявить три компонента преступной инфраструктуры: торговую площадку YAM Store и фишинговые платформы CoGUI и Iron Man. Они предоставляли злоумышленникам похищенные или незаконно созданные учетные записи Microsoft и Google, инструменты для создания поддельных сайтов и шаблоны сообщений, имитирующие известные компании и государственные учреждения.

По данным Microsoft, эта инфраструктура помогала мошенникам атаковать частных лиц, медицинские учреждения, финансовые организации и другие компании. Злоумышленники получали от таких операций десятки миллионов долларов.

Как работала преступная сеть

Расследование началось в конце 2025 года, когда Национальное полицейское агентство Японии сообщило Microsoft о фишинговых кампаниях против жителей страны. Совместная работа правоохранительных органов и специалистов по кибербезопасности привела к китайскоязычному рынку киберпреступности, где можно было приобрести готовые инструменты для мошенничества.

YAM Store работал по принципу обычного интернет-магазина: клиенты могли просматривать предложения, сравнивать цены и покупать учетные записи Microsoft и Google, а также другие инструменты для кражи данных. Контрольные закупки, проведенные специалистами Microsoft, помогли подтвердить механизм работы площадки.

Злоумышленники также использовали домены, срок регистрации которых истек, или восстанавливали сайты организаций, прекративших деятельность. Это позволяло создавать видимость легитимной работы учреждений и мошенническим путем получать учетные записи Microsoft 365, которые затем продавали через YAM Store.

Платформа CoGUI предлагала готовые веб-сайты и шаблоны сообщений, имитирующие известные бренды, финансовые учреждения и государственные органы. С их помощью мошенники могли быстро создавать страницы для кражи паролей, платежных реквизитов и другой конфиденциальной информации.

Впоследствии популярность приобрел сервис Iron Man, который предлагал более 2300 шаблонов для имитации различных организаций в более чем 150 странах. Среди них были:

• банки;

• магазины;

• медицинские учреждения;

• транспортные компании;

• полиция;

• государственные органы.

Шаблоны позволяли создавать электронные письма, SMS и веб-страницы, адаптированные к конкретным брендам, странам и языкам. Часть сообщений имитировала обращения государственных учреждений, чтобы заставить людей совершить платеж или раскрыть личные данные.

Как ликвидируют инфраструктуру

К расследованию присоединились Японский центр по борьбе с киберпреступностью (JC3), а также компании Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs. В ходе расследования также использовались инструменты искусственного интеллекта и осуществлялся обмен информацией с Секретной службой США и международными правоохранительными органами. Они помогли связать отдельные случаи мошенничества и определить масштабы сети.

По решению Окружного суда США Южного округа Флориды Microsoft и некоммерческая организация Health-ISAC получили контроль над доменами, обеспечивавшими работу YAM Store, CoGUI и Iron Man. С этого момента Microsoft заблокировала более 20 тысяч учетных записей, связанных с YAM Store, и продолжает выводить из строя инфраструктуру, которую использовали мошенники. Компания также блокирует более 100 тысяч доменов, задействованных в фишинговых атаках и подделке идентичности других организаций.

Недавно Microsoft также раскрыла кибершпионскую кампанию CaptiveCrunch российской группировки Midnight Blizzard (Cozy Bear), направленную против правительственных чиновников, дипломатов и IT-компаний в США и Европе. Злоумышленники взламывали легитимные Wi-Fi-сети в отелях и конференц-центрах, заставляя путешественников под видом обновлений операционной системы устанавливать вредоносное программное обеспечение, благодаря чему хакеры похищали корпоративные учетные данные Microsoft 365.