Microsoft neemt domeinen van 3 Chinese phishingplatforms in

Microsoft heeft drie phishingplatforms van Chinese cybercriminelen ontmanteld. Volgens het bedrijf verstuurden de platforms honderden miljoenen kwaadaardige berichten waarin ze zich voordeden als meer dan 75.000 organisaties wereldwijd.

Het gaat om YAM Store, CoGUI en Iron Man. Microsoft kreeg van een Amerikaanse rechter toestemming om domeinen uit hun infrastructuur in beslag te nemen en om te leiden. Het bedrijf werkte daarbij samen met het Japanse Nationale Politiebureau en met Health-ISAC, een cybersecurityorganisatie uit de zorg die informatie over dreigingen binnen de sector deelt.

Sinds januari maakten de drie diensten samen meer dan 750 miljoen berichten mogelijk die alleen al op klanten van Microsoft waren gericht. De campagnes bereikten consumenten, zorginstellingen, financiele instellingen en andere bedrijven in meer dan 150 landen, en leverden de beheerders tientallen miljoenen dollars op. De meeste tools waren gemaakt om inloggegevens, persoonsgegevens, bankgegevens en andere logins te stelen.

Van tip van de Japanse politie naar een groter ecosysteem

Volgens Steven Masada, associate general counsel bij de Digital Crimes Unit van Microsoft, begon het onderzoek vorig jaar. De Japanse politie wees toen op berichtencampagnes die op mensen in Japan waren gericht.

Onderzoekers herleidden die campagnes naar een Chineestalig cybercrime-ecosysteem. Dat begon bij CoGUI, maar bleek al snel groter. Naarmate Microsoft en de Japanse autoriteiten meer oplichtingscampagnes aan dezelfde infrastructuur konden koppelen, leidde het spoor naar YAM Store.

Het onderzoek bracht ook overeenkomsten aan het licht tussen de infrastructuur van alle drie de platforms. Volgens Microsoft wijst dat op nauwe samenwerking tussen de ontwikkelaars, of op een gezamenlijke oorsprong.

Drie diensten, drie rollen

CoGUI leverde criminelen kant-en-klare websites en berichten waarmee ze zich voordeden als bekende merken, bedrijven, overheidsinstanties en financiele instellingen. De dienst werd vooral ingezet tegen mensen in Japan, maar halverwege 2026 waren de gebruikers begonnen over te stappen naar Iron Man.

Iron Man werkt als phishingkit-as-a-service. Abonnees krijgen toegang tot meer dan 2.300 kant-en-klare lokpagina's die zich voordoen als postbedrijven, instanties die verkeersboetes innen, belastingdiensten, banken, telecomaanbieders en andere vertrouwde diensten. De sjablonen zijn toegesneden op Australie, Japan, India en tientallen andere landen. Volgens Microsoft konden dieven met de dienst ook "snel e-mail, sms'jes en webcontent inzetten die zijn afgestemd op specifieke merken, sectoren en landen."

YAM Store had een andere rol. Microsoft omschrijft het als een marktplaats voor initial access brokers die "infrastructuur verkoopt op basis van gecompromitteerde of frauduleus verkregen omgevingen bij aanbieders als Microsoft en Google." Criminelen konden er zoeken naar de goedkoopste frauduleuze Microsoft- en Google-accounts om hun oplichting mee uit te voeren.

"De marktplaats biedt allerlei infrastructuur aan, op basis van leeftijd, type abonnement en type omgeving, zoals onderwijs (.edu) of non-profit (.org)," aldus Microsoft.

Kopers konden er ook domeinen krijgen die verbonden waren aan namen van bestaande of verlopen organisaties. Sommigen kochten domeinen die echte bedrijven hadden laten verlopen en bouwden die om tot sites die eruitzagen als echte platforms. Die sites werden vervolgens gebruikt om Microsoft 365-inloggegevens te stelen, die weer op YAM Store konden worden doorverkocht.

Domeinen in beslag genomen, accounts uitgeschakeld

Op grond van de rechterlijke uitspraak nam Microsoft de domeinen in beslag, leidde ze om en schakelde het meer dan 20.000 accounts uit die met YAM Store verbonden waren. Het bedrijf is nog bezig infrastructuur te verwijderen die op zijn eigen diensten draait en blokkeert meer dan 100.000 domeinen die voor imitatie werden gebruikt.

Microsoft deelde informatie met Amerikaanse en internationale opsporingsdiensten. Daarnaast werkte het samen met cybersecuritybedrijf Resecurity om de sites te infiltreren.

Volgens Masada zitten deze tools achter veel van de sms'jes over openstaande tolgelden en de nep-bezorgberichten die mensen dagelijks ontvangen.

De actie maakt deel uit van een breder offensief. Vorige maand haalde Microsoft met toestemming van de rechter EvilTokens offline, een cybercriminaliteitsplatform dat draait op AI, en werkte het samen met de Britse politie om de vermoedelijke beheerders te arresteren. In juni ontmantelde het honderden servers en domeinen die verbonden waren aan cybercrime-as-a-service-infrastructuur voor de verspreiding van de malware SocGholish, Amadey en StealC. Het afgelopen jaar pakte het bedrijf ook RaccoonO365 en RedVDS aan.

Onze analyse

Deze zaak laat zien hoe phishing een toeleveringsketen is geworden. De ene dienst verkoopt sjablonen voor lokberichten, een andere host kant-en-klare sites en een derde verkoopt toegang tot gecompromitteerde of frauduleuze cloudaccounts. Dat Microsoft naast de kits ook de access broker aanpakt, wijst erop dat het bedrijf op meerdere punten in die keten tegelijk de kosten wil opdrijven, in plaats van alleen losse pagina's offline te halen.

De overstap van CoGUI naar Iron Man eerder dit jaar is wel een waarschuwing. Criminele klanten stapten snel over toen het ze uitkwam, en dat kan opnieuw gebeuren. Kits zoals Milk Dragon laten zien dat de markt overvol is. Het is de moeite waard om in de gaten te houden of de beheerders onder nieuwe namen opnieuw beginnen, en of de samenwerking met de Japanse politie tot arrestaties leidt. Voor verdedigers blijven verlopen domeinen met namen van echte bedrijven een risico dat het volgen waard is.