Правоохранительные органы и Microsoft нарушили работу фишинговой инфраструктуры, через которую злоумышленники разослали более миллиарда вредоносных сообщений и атаковали свыше 75 тысяч организаций в 150 странах. Для российских компаний это ещё одно напоминание: корпоративная почта и облачные сервисы остаются не просто рабочими инструментами, а удобной точкой входа для атакующих.
Расследование началось с волны мошенничества, которую изучали Microsoft и Национальное полицейское агентство Японии. Как сообщает BleepingComputer, следователи вышли на YAM Store, также отслеживаемую как Storm-3119, — китайскоязычную теневую площадку, продававшую инфраструктуру и сервисы для фишинговых кампаний. С ней связали наборы CoGUI, Haozi и Iron Man System; Microsoft объединяет их в кластер Storm-2990.
Речь не о единичной группе, которая вручную рассылает письма от имени банка. YAM Store работал как поставщик для преступного рынка: продавал скомпрометированные или полученные мошенническим путём среды Microsoft и Google, учётные записи, лицензии и облачные хранилища. Покупатель получал основу для кампании, шаблоны приманок и площадку для размещения страниц кражи данных — почти готовый конструктор, только без техподдержки в привычном смысле этого слова.
Операторы покупали истёкшие домены реальных организаций, восстанавливали их сайты и создавали видимость, будто закрывшаяся компания продолжает работать. Затем такие «живые» юридические следы использовали для оформления облачных аккаунтов. В другом сценарии создавались фиктивные организации с контентом и документами, в том числе с помощью ИИ-инструментов. Это важно: проверка домена, аккуратный сайт и набор формальных документов сами по себе больше не говорят, что перед вами реальный бизнес.
Фишинг как сервис с тысячами шаблонов
На захваченных Microsoft-средах злоумышленники управляли пользователями и лицензиями через украденные учётные данные приложений, а SharePoint и OneDrive применяли для размещения вредоносного контента. Письма и SMS маскировались под уведомления о неоплаченном проезде, дорожных штрафах, проблемах с доставкой или необходимости подтвердить аккаунт. Такие сюжеты банальны ровно по одной причине: они стабильно заставляют человека действовать быстрее, чем думать.
Наборы поддерживали геофильтрацию, поддельные CAPTCHA, фильтрацию по IP-адресам и другие механизмы, мешающие анализу со стороны ИБ-команд и исследователей. CoGUI, по данным Microsoft, преимущественно бил по пользователям в США и Японии. К середине 2026 года его начал вытеснять Iron Man: в нём насчитывалось более 2 300 шаблонов под банки, ритейлеров, службы доставки и государственные организации.
Компания Resecurity, участвовавшая в расследовании, обнаружила у Iron Man открытую инфраструктуру, включая Git- и контейнерный реестр с 911 опубликованными сборками и восемью зарегистрированными аккаунтами. Исследователи также нашли подсистему выбора «продуктов», связанную со сбором платёжных данных. В ней было 2 360 фишинговых пакетов для 130 стран и территорий; обновления вносились как минимум до 1 октября 2026 года. Это выглядит не как набор страниц, однажды выложенных на сервер, а как регулярно поддерживаемая продуктовая линейка для криминального рынка.
С начала года через эти платформы на клиентов Microsoft было направлено более 750 миллионов вредоносных сообщений по электронной почте и SMS. Во многих атаках применялся device-code phishing — схема, при которой жертву убеждают ввести код входа на легитимной странице авторизации, а атакующий получает токен доступа. Такой приём опасен тем, что пользователь может взаимодействовать с настоящим сервисом идентификации, а не с очевидной подделкой страницы логина.
Домены отключили, но фабрика атак не исчезла
По постановлению окружного суда Южного округа Флориды Microsoft и Health-ISAC изъяли и перенаправили домены, обслуживавшие YAM Store, CoGUI и Iron Man. Microsoft отключила более 20 тысяч аккаунтов, связанных с YAM Store, и заблокировала 100 тысяч доменов, использовавшихся для подмены брендов и мошенничества. В операции также участвуют японские власти, JC3, Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs; часть инфраструктуры продолжает удаляться по материалам расследования.
Контекст у этой истории вполне приземлённый. Ещё в конце 2024 года Proofpoint фиксировала письма, систематически нацеленные на Японию и связанные с CoGUI: преступники выдавали себя за известные японские и международные компании, чтобы украсть учётные и платёжные данные. В ходе дальнейшего анализа эксперты насчитали более 17 тысяч доменов, применявшихся тремя наборами — CoGUI, CoAceV и CoFish_Ws. Масштаб объясняет, почему фишинговая инфраструктура стала отдельным рынком: разработка, закупка доменов, обход фильтров и локализация приманок продаются разным покупателям как услуга.
Для разработчиков и ИТ-директоров практический вывод не сводится к очередной памятке «не открывайте подозрительные письма». Стоит ограничить и контролировать создание приложений в корпоративном тенанте, регулярно проверять сервисные учётные данные и права OAuth-приложений, а также отслеживать входы и выдачу токенов, особенно через device code flow. Почтовая защита должна анализировать не только вложения и URL, но и цепочку авторизации после клика. HR и команды обучения, в свою очередь, могут разбирать с сотрудниками сценарии про доставку, штрафы и подтверждение аккаунта — не как абстрактный фишинг, а как типовые рабочие ситуации.
Отключение десятков тысяч аккаунтов и сотен тысяч доменных связей серьёзно удорожает жизнь операторам, но не отменяет спрос на их услуги. Следующая фишинговая инфраструктура, вероятно, будет ещё быстрее менять домены, убедительнее собирать фиктивные цифровые следы и активнее использовать облачные сервисы. Защите придётся оценивать не только репутацию ссылки, но и поведение аккаунта, приложения и самой авторизации.