Microsoft hat gemeinsam mit Partnern aus der Cybersicherheit eine groß angelegte Phishing-Operation unterbunden, die Zahlungen in Kryptowährungen akzeptierte und Tausende Organisationen weltweit ins Visier nahm. Die Maßnahme nahm die Infrastruktur von YAM Store, CoGUI und Iron Man außer Betrieb – drei Dienste, die Kriminelle mit gefälschten Konten und fertigen Phishing-Werkzeugen versorgten. Seit Januar 2026 ermöglichte das Netzwerk mehr als 1 Milliarde bösartiger Nachrichten in über 150 Ländern.

Microsoft gab die Operation am 14. Oktober in einem offiziellen Blogbeitrag bekannt, nachdem eine Untersuchung gemeinsam mit Health-ISAC, einer Informationsaustauschgemeinschaft des globalen Gesundheitssektors, und internationalen Strafverfolgungsbehörden durchgeführt worden war. Das Unternehmen schätzt, dass die Dienste Zehnmillionenbeträge für ihre Betreiber erwirtschafteten. Mehr als 750 Millionen Phishing-Nachrichten zielten gezielt auf Microsoft-Kunden ab. Die von Microsoft beschriebene Struktur – Anbieter, die Konten, Vorlagen und Zustellungswerkzeuge an eine breite kriminelle Kundschaft verkaufen – spiegelt das Cybercrime-as-a-Service-Modell wider, das die technische Hürde für Phishing-Kampagnen im industriellen Maßstab gesenkt hat.

USDT-Zahlungen unterstützten Cybercrime-Operationen

YAM Store fungierte als Untergrund-Marktplatz für den Verkauf betrügerisch erlangter Microsoft- und Google-Konten, die Kriminelle erwarben, um Phishing-Nachrichten zu verbreiten und legitime Organisationen nachzuahmen. Der Marktplatz akzeptierte mehrere Zahlungsmethoden, darunter Tethers USDT-Stablecoin im Tron-Netzwerk. USDT ist ein an den US-Dollar gekoppelter Stablecoin – eine Kryptowährung, die darauf ausgelegt ist, den Wert des US-Dollars abzubilden – und Tron ist eines der Blockchain-Netzwerke, die seine Transfers abwickeln.

Microsofts Untersuchung identifizierte zudem Kryptowährungszahlungen mit Ethereum im breiteren kriminellen Ökosystem. Diese Zahlungsoptionen ermöglichten es den Betreibern, Phishing-Infrastruktur an Kunden in verschiedenen Rechtsgebieten zu verkaufen.

CoGUI und Iron Man lieferten derweil fertige Websites und Nachrichten, die darauf ausgelegt waren, Passwörter und Finanzinformationen zu stehlen. Die Ermittler entdeckten mehr als 2.300 Iron-Man-Vorlagen, die Banken, Einzelhändler, Behörden und Gesundheitsdienstleister imitierten. Solche Kits leiten Opfer zu gefälschten Login- und Zahlungsseiten, wo eingegebene Zugangsdaten und Finanzinformationen direkt an Angreifer weitergeitet werden.

Microsoft beschlagnahmt Domains und deaktiviert Tausende Konten

Microsoft und Health-ISAC erhielten vom US-Bezirksgericht für den südlichen Distrikt von Florida die Genehmigung, das Netzwerk zu unterbinden. Solche zivilgerichtliche Anordnungen sind ein wiederkehrendes Instrument bei groß angelegten Unterbindungsoperationen und geben privaten Unternehmen die rechtliche Grundlage, Domains außerhalb ihrer eigenen Netzwerke zu beschlagnahmen und umzuleiten. Die Partner beschlagnahmten und leiteten Domains um, die die drei Dienste unterstützten, und schnitten damit den Zugang zu ihrer Infrastruktur ab.

Microsoft hat bereits mehr als 20.000 Konten im Zusammenhang mit YAM Store deaktiviert und blockiert weiterhin über 100.000 betrügerische Domains, die für Identitätsdiebstahl und Phishing-Angriffe genutzt wurden.

Die Untersuchung begann, nachdem japanische Behörden Ende 2025 verdächtige Nachrichten-Kampagnen gegen lokale Organisationen identifiziert hatten. Internationale Zusammenarbeit deckte anschließend einen breiteren kriminellen Marktplatz auf, der Betrüger weltweit beliefert.

Krypto-Zahlungen zeigen wachsende Cybercrime-Risiken

Der Fall verdeutlicht, wie Kryptowährungszahlungen kommerzielle Cybercrime-Operationen unterstützen können. Stablecoins wie USDT ermöglichen grenzüberschreitende Überweisungen und sind damit für legitime Unternehmen ebenso attraktiv wie für kriminelle Marktplätze. Die Untersuchung ergab jedoch nicht, dass Kryptowährungstransaktionen den gesamten Umsatz des Netzwerks ausmachten, und die Unterbindung richtete sich in erster Linie gegen die Phishing-Infrastruktur und nicht gegen die zugrunde liegenden Blockchain-Zahlungssysteme.

Microsofts Intervention stellt einen bedeutenden Versuch dar, die Dienste zu schwächen, die Online-Betrug im großen Maßstab beliefern. Dennoch bleibt die umfassendere Bedrohung bestehen, da Kriminelle weiterhin nach alternativer Infrastruktur und Zahlungskanälen suchen. Microsofts Konten-Deaktivierungen und Domain-Blockaden laufen weiter, sodass künftige Veröffentlichungen des Unternehmens, von Health-ISAC oder Partnerbehörden das Bild der Reichweite des Netzwerks noch erweitern können.