Microsoft, we współpracy z partnerami zajmującymi się cyberbezpieczeństwem, rozbił zakrojoną na szeroką skalę operację phishingową, która przyjmowała płatności w kryptowalutach i była wymierzona w tysiące organizacji na całym świecie. Działanie wyeliminowało infrastrukturę związaną z YAM Store, CoGUI i Iron Man — trzema usługami dostarczającymi przestępcom oszukańczo zdobyte konta oraz gotowe narzędzia phishingowe. Od stycznia 2026 roku sieć umożliwiła rozpowszechnienie ponad 1 miliarda złośliwych wiadomości w ponad 150 krajach.

Microsoft ogłosił operację 14 października w oficjalnym wpisie na blogu, po śledztwie przeprowadzonym wspólnie z Health-ISAC — społecznością wymiany informacji dla globalnego sektora ochrony zdrowia — oraz międzynarodowymi organami ścigania. Firma szacuje, że usługi te wygenerowały dla swoich operatorów dziesiątki milionów dolarów. Ponad 750 milionów wiadomości phishingowych było wymierzonych konkretnie w klientów Microsoftu. Opisany przez Microsoft model — sprzedawcy oferujący konta, szablony i narzędzia dystrybucji szerokiej bazie przestępczych klientów — odzwierciedla model cyberprzestępczości jako usługi, który obniżył barierę techniczną prowadzenia kampanii phishingowych w skali przemysłowej.

Płatności w USDT wspierały operacje cyberprzestępcze

YAM Store działało jako podziemny rynek sprzedający oszukańczo zdobyte konta Microsoft i Google, które przestępcy kupowali, aby rozpowszechniać wiadomości phishingowe i podszywać się pod legalne organizacje. Rynek akceptował różne metody płatności, w tym stablecoin USDT od Tether w sieci Tron. USDT to stablecoin powiązany z dolarem — kryptowaluta zaprojektowana tak, aby odzwierciedlać wartość dolara amerykańskiego — a Tron jest jedną z sieci blockchain obsługujących jego transfery.

Śledztwo Microsoftu ujawniło również płatności w kryptowalutach z udziałem Ethereum w szerszym przestępczym ekosystemie. Te opcje płatności pozwalały operatorom sprzedawać infrastrukturę phishingową klientom w różnych jurysdykcjach.

CoGUI i Iron Man dostarczały natomiast gotowe strony internetowe i wiadomości zaprojektowane w celu kradzieży haseł oraz danych finansowych. Śledczy odkryli ponad 2300 szablonów Iron Man podszywających się pod banki, sprawców detalicznych, agencje rządowe i placówki ochrony zdrowia. Tego rodzaju zestawy kierują ofiary na fałszywe strony logowania i płatności, gdzie wprowadzone dane logowania oraz informacje finansowe trafiają bezpośrednio do atakujących.

Microsoft przejmuje domeny i dezaktywuje tysiące kont

Microsoft i Health-ISAC uzyskały zgodę sądu okręgowego USA dla południowego dystryktu Florydy na rozbiór sieci. Tego rodzaju cywilne postanowienia sądowe to powtarzające się narzędzie w operacjach rozbycia na dużą skalę, dające firmom prywatnym podstawy prawne do przejmowania i przekierowywania domen znajdujących się poza ich własnymi sieciami. Partnerzy przejęli i przekierowali domeny obsługujące trzy usługi, odcinając dostęp do ich infrastruktury.

Microsoft zdezaktywował już ponad 20 000 kont powiązanych z YAM Store i nadal blokuje ponad 100 000 oszukańczych domen wykorzystywanych do podszywania się i ataków phishingowych.

Śledztwo rozpoczęło się, gdy japońskie władze zidentyfikowały pod koniec 2025 roku podejrzane kampanie wiadomości wymierzone w lokalne organizacje. Międzynarodowa współpraca ujawniła następnie szerszy przestępczy rynek obsługujący oszustów na całym świecie.

Płatności w kryptowalutach uwypuklają rosnące ryzyko cyberprzestępczości

Przypadek ten pokazuje, jak płatności w kryptowalutach mogą wspierać komercyjne operacje cyberprzestępcze. Stablecoiny takie jak USDT umożliwiają wygodne transfery transgraniczne, co czyni je atrakcyjnymi zarówno dla legalnych przedsiębiorstw, jak i przestępczych rynków. Śledztwo jednak nie ustaliło, że transakcje w kryptowalutach stanowiły cały przychód sieci, a rozbiór dotyczył przede wszystkim infrastruktury phishingowej, a nie leżących u podstaw systemów płatności blockchain.

Interwencja Microsoftu stanowi istotny krok w osłabieniu usług dostarczających narzędzia do internetowych oszustw na dużą skalę. Mimo to szersze zagrożenie nadal istnieje, ponieważ przestępcy w dalszym ciągu szukają alternatywnej infrastruktury i kanałów płatności. Dezaktywacja kont i blokowanie domen przez Microsoft trwają, więc kolejne komunikaty od firmy, Health-ISAC lub współpracujących organów ścigania mogą uzupełnić obraz zasięgu sieci.