Microsoft совместно с партнерами в области кибербезопасности прекратила работу крупномасштабной фишинговой операции, принимавшей платежи в криптовалютах и нацелившейся на тысячи организаций по всему миру. В результате действий была разрушена инфраструктура, связанная с YAM Store, CoGUI и Iron Man — тремя сервисами, снабжавшими преступников мошенническими аккаунтами и готовыми фишинговыми инструментами. С января 2026 года эта сеть обеспечила отправку более 1 млрд вредоносных сообщений в более чем 150 странах.

Microsoft объявила об операции 14 октября в официальном блоге компании после расследования, проведенного совместно с Health-ISAC — сообществом обмена информацией для глобального сектора здравоохранения — и международными правоохранительными органами. По оценкам компании, сервисы принесли своим владельцам десятки миллионов долларов. Более 750 млн фишинговых сообщений были нацелены именно на клиентов Microsoft. Описанная Microsoft структура — продавцы, торгующие аккаунтами, шаблонами и инструментами доставки широкой преступной клиентуре, — отражает модель «киберпреступление как услуга», снизившую технический порог для проведения фишинговых кампаний в промышленных масштабах.

Платежи в USDT поддерживали киберпреступные операции

YAM Store действовал как подпольный маркетплейс, продававший полученные мошенническим путем аккаунты Microsoft и Google, которые преступники приобретали для распространения фишинговых сообщений и выдачи себя за легитимные организации. Маркетплейс принимал несколько способов оплаты, включая стейблкоин Tether USDT в сети Tron. USDT — это стейблкоин, привязанный к доллару, то есть криптовалюта, предназначенная отслеживать стоимость доллара США, а Tron — одна из блокчейн-сетей, обслуживающих его переводы.

Расследование Microsoft также выявило криптоплатежи с участием Ethereum в более широкой преступной экосистеме. Эти варианты оплаты позволяли операторам продавать фишинговую инфраструктуру клиентам в разных юрисдикциях.

CoGUI и Iron Man, в свою очередь, поставляли готовые сайты и сообщения, предназначенные для кражи паролей и финансовой информации. Следователи обнаружили более 2 300 шаблонов Iron Man, имитировавших банки, ритейлеров, государственные учреждения и поставщиков медицинских услуг. Подобные наборы направляют жертв на поддельные страницы входа и оплаты, где введенные учетные данные и финансовые сведения передаются напрямую злоумышленникам.

Microsoft изымает домены и отключает тысячи аккаунтов

Microsoft и Health-ISAC получили разрешение окружного суда США Южного округа Флориды на прекращение работы сети. Подобные гражданские судебные приказы — регулярно используемый инструмент в крупномасштабных операциях по противодействию, дающий частным компаниям законные основания изымать и перенаправлять домены, находящиеся за предел их собственных сетей. Партнеры изъяли и перенаправили домены, поддерживавшие три сервиса, ограничив доступ к их инфраструктуре.

Microsoft уже отключила более 20 000 аккаунтов, связанных с YAM Store, и продолжает блокировать свыше 100 000 мошеннических доменов, использовавшихся для выдачи себя за другие организации и фишинговых атак.

Расследование началось после того, как японские власти в конце 2025 года выявили подозрительные рассылки, нацелившиеся на местные организации. Впоследствии международное сотрудничество позволило обнаружить более широкий преступный маркетплейс, обслуживавший мошенников по всему миру.

Криптоплатежи подчеркивают растущие риски киберпреступности

Этот случай показывает, как криптоплатежи могут поддерживать коммерческие киберпреступные операции. Стейблкоины, такие как USDT, обеспечивают удобные трансграничные переводы, что делает их привлекательными как для легитимного бизнеса, так и для преступных маркетплейсов. Однако расследование не установило, что криптовалютные транзакции обеспечили весь доход сети, а прекращение работы было нацелено прежде всего на фишинговую инфраструктуру, а не на лежащие в основе блокчейн-платежные системы.

Вмешательство Microsoft — значительная попытка ослабить сервисы, обеспечивающие крупномасштабное онлайн-мошенничество. Тем не менее более широкая угроза сохраняется, поскольку преступники продолжают искать альтернативную инфраструктуру и платежные каналы. Отключение аккаунтов и блокировка доменов Microsoft продолжаются, поэтому последующие заявления компании, Health-ISAC или партнерских правоохранительных органов могут дополнить общественную картину масштабов сети.