Microsoft, insieme a partner della cybersecurity, ha interrotto un'operazione di phishing su larga scala che accettava pagamenti in criptovalute e mirava a migliaia di organizzazioni in tutto il mondo. L'azione ha abbattuto le infrastrutture collegate a YAM Store, CoGUI e Iron Man — tre servizi che fornivano ai criminali account fraudolenti e strumenti di phishing pronti all'uso. Da gennaio 2026, la rete ha consentito più di 1 miliardo di messaggi dannosi in oltre 150 paesi.

Microsoft ha annunciato l'operazione il 14 ottobre in un post ufficiale sul blog, a seguito di un'indagine condotta con Health-ISAC, una comunità di condivisione di informazioni per il settore sanitario globale, e agenzie di contrasto internazionali. L'azienda stima che i servizi abbiano generato decine di milioni di dollari per i loro gestori. Oltre 750 milioni di messaggi di phishing erano specificamente rivolti ai clienti di Microsoft. La struttura descritta da Microsoft — fornitori che vendono account, template e strumenti di distribuzione a un'ampia base di clienti criminali — riflette il modello di cybercrime-as-a-service che ha abbassato la barriera tecnica per condurre campagne di phishing su scala industriale.

I pagamenti in USDT sostenevano le operazioni di cybercrime

YAM Store operava come un mercato sotterraneo che vendeva account Microsoft e Google ottenuti fraudolentemente, acquistati dai criminali per distribuire messaggi di phishing e impersonare organizzazioni legittime. Il mercato accettava diversi metodi di pagamento, tra cui la stablecoin USDT di Tether sulla rete Tron. USDT è una stablecoin ancorata al dollaro — una criptovaluta progettata per seguire il valore del dollaro statunitense — e Tron è una delle reti blockchain che ospitano i suoi trasferimenti.

L'indagine di Microsoft ha inoltre identificato pagamenti in criptovalute che coinvolgevano Ethereum nell'ecosistema criminale più ampio. Queste opzioni di pagamento hanno permesso ai gestori di vendere infrastrutture di phishing a clienti in diverse giurisdizioni.

CoGUI e Iron Man, nel frattempo, fornivano siti web e messaggi pronti all'uso progettati per rubare password e informazioni finanziarie. Gli investigatori hanno scoperto più di 2.300 template di Iron Man che impersonavano banche, rivenditori, agenzie governative e operatori sanitari. Kit di questo tipo indirizzano le vittime verso contraffazioni di pagine di login e pagamento, dove le credenziali e i dati finanziari inseriti passano direttamente agli attaccanti.

Microsoft sequestra domini e disattiva migliaia di account

Microsoft e Health-ISAC hanno ottenuto l'autorizzazione dal tribunale distrettuale degli Stati Uniti per il distretto meridionale della Florida per interrompere la rete. Gli ordinanze civili di questo tipo sono uno strumento ricorrente nelle operazioni di smantellamento su larga scala, che danno alle società private la legittimazione legale perquestrare e reindirizzare domini situati al di fuori delle proprie reti. I partner hanno sequestrato e reindirizzato i domini a supporto dei tre servizi, tagliando l'accesso alle loro infrastrutture.

Microsoft ha già disattivato più di 20.000 account associati a YAM Store e continua a bloccare oltre 100.000 domini fraudolenti utilizzati per impersonificazioni e attacchi di phishing.

L'indagine è iniziata dopo che le autorità giapponesi hanno identificato campagne di messaggistica sospette mirate a organizzazioni locali alla fine del 2025. La cooperazione internazionale ha successivamente portato alla luce un mercato criminale più ampio al servizio di truffatori in tutto il mondo.

I pagamenti in criptovalute evidenziano rischi crescenti di cybercrime

Il caso sottolinea come i pagamenti in criptovalute possano supportare operazioni di cybercrime commerciale. Stablecoin come USDT consentono trasferimenti transfrontalieri comodi, rendendole attraenti sia per le imprese legittime sia per i mercati criminali. L'indagine, tuttavia, non stabilisce che le transazioni in criptovalute abbiano rappresentato tutti i ricavi della rete, e l'interruzione ha mirato principalmente alle infrastrutture di phishing piuttosto che ai sistemi di pagamento blockchain sottostanti.

L'intervento di Microsoft rappresenta uno sforzo significativo per indebolire i servizi che alimentano le frodi online su larga scala. Ciononostante, la minaccia più ampia persiste, poiché i criminali continuano a cercare infrastrutture e canali di pagamento alternativi. Le disattivazioni di account e i blocchi di domini di Microsoft sono ancora in corso, quindi future comunicazioni dell'azienda, di Health-ISAC o delle agenzie di contrasto partner potrebbero arricchire il quadro pubblico sulla portata della rete.