Microsoft заявила о ликвидации преступного рынка, ответственного за миллиард вредоносных сообщений.
В ходе почти годичного расследования, проведенного совместно с международными властями и несколькими технологическими и кибербезопасными компаниями, Microsoft выявила и ликвидировала Yam Store — скоординированную подпольную сеть, занимавшуюся фишингом как услугой (PhaaS).
Эта сеть позволяла киберпреступникам легко приобретать и очень быстро развертывать готовые наборы для фишинговых атак с целью кражи данных и учетных данных.
Microsoft сообщила, что ликвидация началась с простого расследования, основанного на информации от японских властей.
«Работая вместе и с помощью инструментов искусственного интеллекта, мы связали учетные записи, веб-сайты и инфраструктуру, которые изначально казались несвязанными, что помогло раскрыть более широкий преступный рынок, стоящий за ними», — написал Стивен Масада, помощник генерального юрисконсульта и генеральный директор подразделения цифровых преступлений Microsoft, в своем блоге. «То, что кажется простым мошенническим сообщением, часто является видимым концом гораздо более крупной транснациональной операции киберпреступников».
Развивающийся рынок PhaaS
В совокупности Yam Store, а также продаваемые в нем наборы и инструменты позволили отправить более 1 миллиарда сообщений более чем 75 000 организациям по всему миру. Более 750 миллионов из них были отправлены только клиентам Microsoft, что в итоге принесло преступным операторам «десятки миллионов долларов».
Расследование рынка началось в конце 2025 года после того, как Национальное полицейское агентство Японии (NPA) уведомило Microsoft о «волне мошеннической деятельности», нацеленной на людей и предприятия в Японии. Исследователи ожидали найти несколько отдельных кампаний; вместо этого они обнаружили «обширный китайскоязычный рынок киберпреступности». Расследование расширилось на глобальном уровне и привлекло усилия нескольких других правоохранительных органов, а также таких компаний, как Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs.
Yam Store служил брокером первоначального доступа (IAB), работая подобно онлайн-рынку; в данном случае товаром были мошеннические учетные записи Microsoft и Google, а также другие готовые инструменты, используемые для осуществления мошенничества, такого как кража учетных данных и данных. Клиенты могли просматривать, сравнивать цены и совершать покупки. Доступные инструменты были организованы по возрасту и типу подписки и среды (например, сайты .edu или .org).
В некоторых случаях преступным операторам удавалось регистрировать интернет-домены, срок действия которых истек, но которые были разрешены легитимными организациями, а затем восстанавливать их, чтобы они выглядели активными. Они нацеливались на конкретные секторы (например, некоммерческие организации или образовательные учреждения), чтобы мошенническим путем получить учетные записи Microsoft 365 для последующей продажи через Yam Store.
Исследователи обнаружили, что Yam Store развивался по мере появления различных наборов, и выявили три популярных набора PhaaS: Iron Man System, CoGUI и Haozi.
Новая система Iron Man появилась в середине 2026 года. Она предоставляла готовые страницы-приманки, которые перехватывали любые данные, введенные жертвой. Сайты-приманки имитировали медицинские учреждения, полицейские управления, государственные органы, почтовые и курьерские службы, дорожные и транспортные ведомства, налоговые службы, банки, телекоммуникационные компании и розничных продавцов. Благодаря тестовым закупкам и разведывательной работе следователи обнаружили более 2300 шаблонов, имитирующих организации из более чем 150 стран.
Iron Man эффективно расширил модель PhaaS, предоставив преступникам доступ к тысячам готовых шаблонов, адаптированных к конкретным отраслям, языкам и регионам. Масада отметил, что многие «использовали внешний вид официальных органов для давления на жертв с целью получения платежей или раскрытия конфиденциальной личной информации. Вместо того чтобы создавать мошеннические веб-сайты самостоятельно, преступники могли быстро развернуть страницы, предназначенные для кражи паролей, платежной информации и других личных данных».
Наборы также были оснащены передовыми методами уклонения, такими как геолокация, поддельные CAPTCHA-ворота, списки блокировки и разрешения IP-адресов, а также конфигурации для предотвращения обнаружения.
Масада подчеркнул, что, хотя организация или государственное учреждение могли быть представлены среди предлагаемых шаблонов, это не означает, что их системы были скомпрометированы.
Однако участники Microsoft Threat Intelligence и Microsoft Digital Crimes Unit написали в своем блоге: «Масштабы и распространение этой экосистемы демонстрируют, как легкодоступная преступная инфраструктура может снизить порог входа, позволяя менее квалифицированным киберпреступникам нацеливаться на организации в больших масштабах и способствовать потерям от мошенничества».
Важность кибергигиены
Почти во всех наблюдаемых случаях фишинговые приманки представляли собой «предписанные красные флаги мошенничества», объяснили исследователи Microsoft: срочность и временные ограничения задач.
Они рекомендовали пользователям иметь базовое понимание распространенных методов фишинга и быть осведомленными о необходимости всегда проверять предполагаемого отправителя, прежде чем переходить по ссылке, ведущей якобы на страницу входа, даже если задача включает вход в известный безопасный аккаунт.
Кроме того, по их словам, запросы на вход должны четко идентифицировать аутентифицируемое приложение. Например, во взаимодействиях с Microsoft Azure с 2021 года пользователям предлагается «отменить» или «продолжить» при входе, но, как отметили исследователи, это часто отсутствует в фишинговых входах.
Укрепление учетных данных и облачных идентификационных данных также необходимо для защиты от фишинговых атак; исследователи предложили в качестве первого шага использовать инструменты без паролей, такие как passkeys, и многофакторную аутентификацию (MFA) во всех организациях.
«Применяйте принципы наименьших привилегий и нулевого доверия, чтобы значительно замедлить злоумышленников, которые могли получить первоначальный доступ, и выиграть время для реагирования защитников», — отметили исследователи. Эти шаги могут помочь особенно в защите глобальных ролей администратора.
Они также рекомендовали дополнительные действия, включая использование приложения Microsoft Authenticator для passkeys и MFA; настройку политики Microsoft Defender for Office 365 Safe Links для применения к внутренним получателям; дополнение MFA политиками условного доступа; и разрешение регистрации MFA и passkeys только из доверенных мест и устройств.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
