微软与网络安全合作伙伴联手，捣毁了一个接受加密货币付款、针对全球数千个组织的大型钓鱼操作。此次行动摧毁了与YAM Store、CoGUI和Iron Man相关的基础设施——这三项服务向犯罪分子提供欺诈获取的账户和现成的钓鱼工具。自2026年1月以来，该网络已在150多个国家促成超过10亿条恶意信息。

微软于10月14日在官方博客文章中宣布了此次行动，此前与全球健康领域信息共享组织Health-ISAC以及国际执法机构共同开展了调查。该公司估计，这些服务为其运营者创造了数千万美元的收入。其中超过7.5亿条钓鱼信息专门针对微软客户。微软所描述的结构——向广泛的犯罪客户群体出售账户、模板和投递工具的供应商——反映了“网络犯罪即服务”模式，该模式降低了以工业规模开展钓鱼活动的技术门槛。

USDT付款支持网络犯罪运营

YAM Store作为一个地下市场运营，出售以欺诈手段获取的微软和谷歌账户，犯罪分子购买这些账户用于分发钓鱼信息并冒充合法组织。该市场接受多种付款方式，包括Tron网络上的Tether USDT稳定币。USDT是一种与美元挂钩的稳定币——一种旨在跟踪美元价值的加密货币——而Tron是承载其转账的区块链网络之一。

微软的调查还在更广泛的犯罪生态系统中发现了涉及以太坊的加密货币付款。这些支付选项使运营者能够向不同司法管辖区的客户出售钓鱼基础设施。

与此同时，CoGUI和Iron Man提供现成的网站和信息，旨在窃取密码和财务信息。调查人员发现了超过2,300个Iron Man模板，冒充银行、零售商、政府机构和医疗保健提供商。此类工具包将受害者引导至伪造的登录和支付页面，输入的凭据和财务信息会直接传送给攻击者。

微软查封域名并停用数千个账户

微软和Health-ISAC获得美国佛罗里达州南区联邦地区法院的授权来破坏该网络。此类民事法院命令是大规模打击行动中的常用工具，使私营公司获得法律依据，得以查封和重定向位于其自身网络之外的域名。合作伙伴查封并重定向了支持这三项服务的域名，切断了对其基础设施的访问。

微软已停用超过2万个与YAM Store相关的账户，并持续封禁超过10万个用于冒充和钓鱼攻击的欺诈域名。

调查始于2025年底日本当局发现针对当地组织的可疑信息活动。随后的国际合作揭露了一个服务于全球欺诈者的更大规模犯罪市场。

加密货币付款凸显日益增长的网络犯罪风险

此案凸显了加密货币付款如何支持商业化网络犯罪运营。USDT等稳定币支持便捷的跨境转账，使其对合法企业和犯罪市场同样具有吸引力。然而，调查并未确定加密货币交易构成了该网络的全部收入来源，且此次打击主要针对钓鱼基础设施，而非底层区块链支付系统。

微软的干预是削弱为大规模在线欺诈提供服务的重大努力。尽管如此，随着犯罪分子继续寻求替代基础设施和支付渠道，更广泛的威胁依然存在。微软的账户停用和域名封禁工作仍在进行中，该公司、Health-ISAC或合作的执法机构后续披露的信息可能会进一步补充公众对该网络影响范围的了解。