Фишинговая сеть Yam Store с января 2026 года помогла отправить более 1 млрд писем и SMS в адрес свыше 75 тыс. организаций по всему миру. Это не очередной одиночный «магазин шаблонов», а рынок, где злоумышленникам продавали и фишинговые наборы, и инфраструктуру, внешне похожую на легитимную — неприятная комбинация для почтовых фильтров, SOC и сотрудников, привыкших проверять адрес ссылки.
О масштабах операции сообщает Dark Reading со ссылкой на исследование Microsoft Threat Intelligence и подразделения Microsoft Digital Crimes Unit. В центре схемы — Yam Store, который Microsoft отслеживает как Storm-3119. Площадка предлагала готовые инструменты для фишинга, а также домены и облачные окружения Microsoft и Google, связанные с настоящими, истёкшими или ранее использовавшимися организациями. Такая инфраструктура выглядит убедительнее случайно зарегистрированного домена и помогает атакам дольше обходить автоматические проверки.
Microsoft считает Yam Store частью китайскоязычной криминальной экосистемы. При этом брокер инфраструктуры и операторы фишинговых наборов — отдельные, хотя и тесно связанные группы. Через эту экосистему распространялись как минимум три набора: CoGUI, Haozi, также известный как Phoenix, и Iron Man System. Разработчиков этих наборов и связанную активность Microsoft обозначает как Storm-2990.
Фишинговая сеть Yam Store фактически снижала порог входа в массовые атаки: покупателю не нужно самостоятельно собирать хостинг, домены, формы для кражи учётных данных и панель управления кампанией. Особенно показателен Iron Man System: исследователи насчитали в нём более 2 335 шаблонов для 139 стран. Приманки маскируются под государственные службы, полицию, медицину, финансы, транспорт и ритейл. Вариант с требованием оплатить штраф за парковку выглядит банально — именно поэтому он всё ещё работает.
Наборы включали и привычный арсенал уклонения от защиты: геозоны, поддельные CAPTCHA, списки разрешённых и заблокированных IP-адресов, настройки против исследователей безопасности. Получение учётных данных или кодов подтверждения могло сопровождаться автоматическим уведомлением через Telegram-бота. Для атакующего это превращает фишинг в почти конвейерный процесс: жертва открыла страницу, ввела данные, оператор сразу получает сигнал и пытается использовать доступ до того, как пользователь или служба безопасности заметят проблему.
Самая тревожная часть истории — злоупотребление доверенными облачными сервисами. Yam Store, по оценке Microsoft, работал как брокер первоначального доступа: продавал окружения, полученные мошенническим путём или скомпрометированные, и использовал автоматизацию для поиска истёкших имён сред или организаций. Проверка URL сотрудником в такой ситуации перестаёт быть достаточной защитой: ссылка может вести на настоящий экран входа, а атака может быть построена вокруг выдачи кода или согласия на доступ, а не вокруг кражи пароля в явном виде.
Для российских команд безопасности вывод вполне прикладной. Обучение сотрудников стоит смещать от формулы «посмотри на домен» к вопросу «ты сам инициировал этот вход или подтверждение?». При расследовании нельзя ограничиваться сбросом пароля: необходимо проверить активные сессии, выданные OAuth-разрешения, зарегистрированные приложения, сервисные учётные записи и секреты приложений. Иначе доступ, выданный отдельному приложению, останется у атакующего даже после того, как пароль пользователя уже сменён и в тикете поставлена галочка «устранено».
Microsoft сообщила, что отключила более 20 тыс. связанных с Yam Store арендаторов, через которые работало свыше 140 тыс. вредоносных доменов, и усилила механизмы выявления мошеннической инфраструктуры. Но фишинговая сеть Yam Store важна не только числом сообщений: она показывает, как криминальный рынок превращает доверие к крупным облакам в товар. Главный вопрос для компаний теперь не в том, попадёт ли подозрительное письмо в фильтр, а в том, заметят ли они злоупотребление легитимным доступом после того, как письмо всё-таки прошло.