Microsoft heeft samen met cyberbeveiligingspartners een grootschalige phishingoperatie verstoord die cryptocurrencybetalingen accepteerde en duizenden organisaties wereldwijd naar het leven stond. De actie trok infrastructuur neer die verbonden was met YAM Store, CoGUI en Iron Man — drie diensten die criminelen voorzagen van fraudeurige accounts en kant-en-klare phishingtools. Sinds januari 2026 heeft het netwerk meer dan 1 miljard kwaadaardige berichten mogelijk gemaakt in meer dan 150 landen.

Microsoft kondigde de actie op 14 oktober aan in een officiële blogpost, na een onderzoek dat werd uitgevoerd met Health-ISAC, een informatiedelingsgemeenschap voor de wereldwijde gezondheidssector, en internationale politiediensten. Het bedrijf schat dat de diensten tientallen miljoenen dollars aan omzet hebben opgeleverd voor hun exploitanten. Meer dan 750 miljoen phishingberichten waren specifiek gericht op Microsoft-klanten. De structuur die Microsoft beschrijft — verkopers die accounts, sjablonen en bezorgtools aanbieden aan een brede criminele klantenkring — weerspiegelt het cybercrime-as-a-service-model dat de technische drempel voor industriële phishingcampagnes heeft verlaagd.

USDT-betalingen Ondersteunden Cybercrimeactiviteiten

YAM Store fungeerde als een ondergrondse marktplaats die fraudeurig verkregen Microsoft- en Google-accounts verkocht, die criminelen kochten om phishingberichten te verspreiden en legitieme organisaties na te bootsen. De marktplaats accepteerde meerdere betaalmethoden, waaronder de USDT-stablecoin van Tether op het Tron-netwerk. USDT is een aan de dollar gekoppelde stablecoin — een cryptocurrency die ontworpen is om de waarde van de Amerikaanse dollar te volgen — en Tron is een van de blockchainnetwerken die de transfers faciliteren.

Het onderzoek van Microsoft bracht ook cryptocurrencybetalingen met Ethereum aan het licht binnen het bredere criminele ecosysteem. Deze betaalopties stelden exploitanten in staat phishinginfrastructuur te verkopen aan klanten in verschillende rechtsgebieden.

CoGUI en Iron Man leverden ondertussen kant-en-klare websites en berichten die ontworpen waren om wachtwoorden en financiële gegevens te stelen. Onderzoekers ontdekten meer dan 2.300 Iron Man-sjablonen die banken, retailers, overheidsinstanties en zorgaanbieders imiteerden. Dergelijke kits leiden slachtoffers naar nagebootste inlog- en betaalpagina's, waar ingevoerde inloggegevens en financiële gegevens rechtstreeks bij aanvallers terechtkomen.\n### Microsoft Neemt Domeinen in Beslag en Schakelt Duizenden Accounts Uit

Microsoft en Health-ISAC verkregen toestemming van de U.S. District Court for the Southern District of Florida om het netwerk te verstoren. Dit soort civiele gerechtelijke bevelen is een terugkerend instrument bij grootschalige ontwrichtingsoperaties en geeft private bedrijven een juridische basis om domeinen in beslag te nemen en om te leiden die buiten hun eigen netwerken vallen. De partners namen domeinen in beslag die de drie diensten ondersteunden en leidden deze om, waardoor de toegang tot hun infrastructuur werd afgesneden.

Microsoft heeft al meer dan 20.000 accounts die met YAM Store in verband worden gebracht uitgeschakeld en blokkeert nog steeds meer dan 100.000 frauduleuze domeinen die worden gebruikt voor impersonatie en phishingaanvallen.

Het onderzoek begon nadat Japanse autoriteiten eind 2025 verdachte berichtcampagnes hadden geïdentificeerd die gericht waren op lokale organisaties. Internationale samenwerking bracht vervolgens een bredere criminele marktplaats aan het licht die fraudeurs wereldwijd bedient.

Cryptobetalingen Onderstrepen Groeiende Cybercrimerisico's

De zaak onderstreept hoe cryptocurrencybetalingen commerciële cybercrimeoperaties kunnen ondersteunen. Stablecoins zoals USDT maken handige grensoverschrijdende overboekingen mogelijk, waardoor ze aantrekkelijk zijn voor zowel legitieme bedrijven als criminele marktplaatsen. Het onderzoek stelt echter niet vast dat cryptotransacties verantwoordelijk waren voor alle omzet van het netwerk, en de ontwrichting richtte zich primair op phishinginfrastructuur in plaats van op de onderliggende blockchainbetalingssystemen.

De interventie van Microsoft vormt een aanzienlijke inspanning om de diensten te verzwakken die grootschalige onlinefraude mogelijk maken. Desondanks blijft de bredere dreiging bestaan, nu criminelen doorgaan met het zoeken naar alternatieve infrastructuur en betaalkanalen. Het uitschakelen van accounts en het blokkeren van domeinen door Microsoft lopen nog door, waardoor latere openbaarmakingen van het bedrijf, Health-ISAC of partner-politiediensten het publieke beeld van de reikwijdte van het netwerk kunnen aanvullen.