Microsoft, en collaboration avec des partenaires en cybersécurité, a démantelé une opération de phishing à grande échelle qui acceptait des paiements en cryptomonnaies et ciblait des milliers d'organisations dans le monde entier. L'action a permis de neutraliser l'infrastructure liée à YAM Store, CoGUI et Iron Man — trois services qui fournissaient aux criminels des comptes frauduleux et des outils de phishing prêts à l'emploi. Depuis janvier 2026, le réseau a permis la diffusion de plus d'un milliard de messages malveillants dans plus de 150 pays.

Microsoft a annoncé l'opération le 14 octobre dans un article de blog officiel, à l'issue d'une enquête menée avec Health-ISAC, une communauté de partage d'informations pour le secteur mondial de la santé, et des agences répressives internationales. L'entreprise estime que ces services ont généré des dizaines de millions de dollars pour leurs opérateurs. Plus de 750 millions de messages de phishing ciblaient spécifiquement les clients de Microsoft. La structure décrite par Microsoft — des vendeurs proposant des comptes, des modèles et des outils de diffusion à une large clientèle criminelle — illustre le modèle de la cybercriminalité en tant que service, qui a abaissé les barrières techniques au lancement de campagnes de phishing à l'échelle industrielle.

Des paiements en USDT au service des opérations de cybercriminalité

YAM Store fonctionnait comme une place de marché souterraine vendant des comptes Microsoft et Google obtenus frauduleusement, que les criminels achetaient pour diffuser des messages de phishing et usurper l'identité d'organisations légitimes. La place de marché acceptait plusieurs moyens de paiement, dont l'USDT, le stablecoin de Tether, sur le réseau Tron. L'USDT est un stablecoin adossé au dollar — une cryptomonnaie conçue pour suivre la valeur du dollar américain — et Tron fait partie des réseaux blockchain qui hébergent ses transferts.

L'enquête de Microsoft a également identifié des paiements en cryptomonnaies impliquant Ethereum dans l'écosystème criminel au sens large. Ces options de paiement ont permis aux opérateurs de vendre une infrastructure de phishing à des clients dans différentes juridictions.

CoGUI et Iron Man, quant à eux, fournissaient des sites web et des messages prêts à l'emploi conçus pour voler des mots de passe et des informations financières. Les enquêteurs ont découvert plus de 2 300 modèles Iron Man imitant des banques, des détaillants, des agences gouvernementales et des prestataires de santé. Ce type de kit redirige les victimes vers de fausses pages de connexion et de paiement, où les identifiants et les données financières saisies sont transmis directement aux attaquants.

Microsoft saisit des domaines et désactive des milliers de comptes

Microsoft et Health-ISAC ont obtenu l'autorisation du tribunal fédéral du district sud de Floride pour démanteler le réseau. Ce type d'ordonnance de justice civile est un outil récurrent dans les opérations de neutralisation à grande échelle, donnant aux entreprises privées un fondement légal pour saisir et rediriger des domaines situés hors de leurs propres réseaux. Les partenaires ont saisi et redirigé les domaines soutenant les trois services, coupant l'accès à leur infrastructure.

Microsoft a déjà désactivé plus de 20 000 comptes associés à YAM Store et continue de bloquer plus de 100 000 domaines frauduleux utilisés pour l'usurpation d'identité et les attaques de phishing.

L'enquête a débuté après que les autorités japonaises ont identifié des campagnes de messages suspectes ciblant des organisations locales fin 2025. La coopération internationale a ensuite mis au jour une place de marché criminelle plus vaste au service de fraudeurs du monde entier.

Les paiements en cryptomonnaies mettent en lumière des risques croissants de cybercriminalité

Cette affaire souligne comment les paiements en cryptomonnaies peuvent soutenir des opérations de cybercriminalité commerciale. Les stablecoins comme l'USDT permettent des transferts transfrontaliers pratiques, ce qui les rend attractifs tant pour les entreprises légitimes que pour les places de marché criminelles. L'enquête n'établit toutefois pas que les transactions en cryptomonnaies représentaient l'intégralité des revenus du réseau, et la neutralisation a principalement ciblé l'infrastructure de phishing plutôt que les systèmes de paiement blockchain sous-jacents.

L'intervention de Microsoft constitue un effort significatif pour affaiblir les services alimentant la fraude en ligne à grande échelle. Néanmoins, la menace plus large persiste, les criminels continuant de rechercher des infrastructures et des canaux de paiement alternatifs. Les désactivations de comptes et les blocages de domaines de Microsoft se poursuivent, de sorte que de futures annonces de l'entreprise, de Health-ISAC ou des agences répressives partenaires pourraient compléter le tableau public de la portée du réseau.