Microsoft saisit les domaines de 3 plateformes de phishing

Microsoft a mis hors d'état de nuire trois plateformes d'hameçonnage utilisées par des cybercriminels chinois. Selon l'entreprise, ces plateformes ont envoyé des centaines de millions de messages malveillants en usurpant l'identité de plus de 75 000 organisations dans le monde.

Il s'agit de YAM Store, CoGUI et Iron Man. Microsoft a obtenu une ordonnance d'un tribunal américain qui l'a autorisé à saisir et à rediriger des domaines appartenant à leur infrastructure. Il a travaillé avec l'Agence nationale de la police japonaise et Health-ISAC, une organisation de cybersécurité du secteur de la santé qui partage des informations sur les menaces entre ses acteurs.

Depuis janvier, ces trois services ont permis à eux seuls l'envoi de plus de 750 millions de messages visant uniquement les clients de Microsoft. Les campagnes ont touché des particuliers, des établissements de santé, des institutions financières et d'autres entreprises dans plus de 150 pays, et ont rapporté des dizaines de millions de dollars à leurs opérateurs. La plupart des outils étaient conçus pour voler des identifiants, des données personnelles, des informations bancaires et d'autres données de connexion.

D'un signalement de la police japonaise à tout un écosystème

D'après Steven Masada, avocat général adjoint de la Digital Crimes Unit de Microsoft, l'enquête a débuté l'an dernier. Des responsables de la police japonaise avaient repéré des campagnes de messages ciblant des personnes au Japon.

Les enquêteurs ont remonté la piste de ces campagnes jusqu'à un écosystème cybercriminel sinophone. Tout a commencé avec CoGUI, mais l'affaire a vite pris de l'ampleur. À mesure que Microsoft et les autorités japonaises reliaient de nouvelles campagnes d'arnaque à la même infrastructure, la piste a mené à YAM Store.

L'enquête a également mis au jour des similitudes entre les infrastructures des trois plateformes. Pour Microsoft, cela indique une étroite collaboration entre leurs développeurs, ou une origine de développement commune.

Trois services, trois rôles

CoGUI fournissait aux criminels des sites et des messages clés en main qui usurpaient l'identité de marques connues, d'entreprises, d'administrations et d'institutions financières. Il a été largement utilisé contre des personnes au Japon, mais à la mi-2026, ses utilisateurs avaient commencé à migrer vers Iron Man.

Iron Man fonctionne comme un service de kits d'hameçonnage, sur le modèle du "phishing-kit-as-a-service". Les abonnés ont accès à plus de 2 300 pages leurres prêtes à l'emploi qui se font passer pour des services postaux, des organismes chargés des amendes routières, des administrations fiscales, des banques, des opérateurs télécoms et d'autres services de confiance. Les modèles sont adaptés à l'Australie, au Japon, à l'Inde et à des dizaines d'autres pays. Selon Microsoft, le service permettait aussi aux escrocs de "déployer rapidement des contenus e-mail, SMS et web adaptés à des marques, des secteurs et des pays précis".

YAM Store jouait un rôle différent. Microsoft le décrit comme une place de marché de courtiers en accès initial qui "vend de l'infrastructure reposant sur des environnements compromis ou obtenus frauduleusement chez des fournisseurs comme Microsoft et Google". Les criminels pouvaient y chercher les comptes Microsoft et Google frauduleux les moins chers pour mener leurs arnaques.

"La place de marché propose une variété d'infrastructures selon leur ancienneté, le type d'abonnement et le type d'environnement, comme l'éducation (.edu) ou les organisations à but non lucratif (.org)", a expliqué Microsoft.

Les acheteurs pouvaient aussi se procurer des domaines liés à des noms d'organisations légitimes ou expirés. Certains ont racheté des domaines que de vraies entreprises avaient laissé expirer, puis les ont reconstruits pour qu'ils ressemblent à d'authentiques plateformes. Ces sites servaient ensuite à voler des identifiants Microsoft 365, qui pouvaient être revendus sur YAM Store.

Domaines saisis, comptes désactivés

En vertu de l'ordonnance, Microsoft a saisi et redirigé les domaines et désactivé plus de 20 000 comptes liés à YAM Store. Il continue de supprimer l'infrastructure hébergée sur ses propres services et bloque plus de 100 000 domaines utilisés pour l'usurpation d'identité.

Microsoft a partagé des informations avec les forces de l'ordre américaines et internationales. Il a également travaillé avec la société de cybersécurité Resecurity pour infiltrer les sites.

Selon Steven Masada, ces outils alimentent une grande partie des SMS d'arnaque aux péages et des faux messages de livraison que les gens reçoivent tous les jours.

Cette opération s'inscrit dans une offensive plus large. Le mois dernier, Microsoft a obtenu une autorisation judiciaire pour démanteler EvilTokens, une plateforme cybercriminelle dopée à l'IA, et a collaboré avec la police britannique pour arrêter ses opérateurs présumés. En juin, il a démantelé des centaines de serveurs et de domaines liés à une infrastructure de cybercrime-as-a-service servant à diffuser les malwares SocGholish, Amadey et StealC. Au cours de l'année écoulée, il s'est aussi attaqué à RaccoonO365 et RedVDS.

Notre analyse

Cette affaire montre à quel point l'hameçonnage est devenu une chaîne d'approvisionnement. Un service vend des modèles de leurres, un autre héberge des sites clés en main, et un troisième vend l'accès à des comptes cloud compromis ou frauduleux. En s'attaquant au courtier en accès en même temps qu'aux kits, Microsoft semble vouloir faire grimper les coûts à plusieurs maillons de cette chaîne à la fois, et pas seulement mettre hors ligne des pages isolées.

Le passage de CoGUI à Iron Man plus tôt cette année sonne toutefois comme un avertissement. Les clients criminels ont migré rapidement quand cela les arrangeait, et cela pourrait se reproduire. Des kits comme Milk Dragon montrent que le marché est encombré. Il faudra surveiller si les opérateurs se reconstituent sous de nouveaux noms, et si la coopération avec la police japonaise débouche sur des arrestations. Pour les défenseurs, les domaines expirés portant le nom de vraies entreprises restent un risque à suivre de près.