Eine weltweite Operation, an Microsoft der japanische Behörden und Cybersicherheitsunternehmen beteiligt sind, hat ein großes kriminelles Netzwerk gestört, das für den Versand von mehr als einer Milliarde Phishing-E-Mails und Textnachrichten verantwortlich ist. Das Netzwerk richtete sich gegen Personen und Unternehmen in über 150 Ländern und nutzte fertige Werkzeuge, um vertrauenswürdige Organisationen zu imitieren und sensible Informationen zu stehlen.
Die Ermittlungen begannen, nachdem die japanische Nationale Polizeibehörde Microsoft auf weitverbreiteten Online-Betrug aufmerksam gemacht hatte. Was zunächst wie separate Phishing-Kampagnen erschien, wurde schließlich auf ein vernetztes Ökosystem krimineller Dienste zurückgeführt, darunter ein unterirdischer Marktplatz namens YAM Store.
Der YAM Store lieferte Cyberkriminellen kompromittierte oder betrügerisch erhaltene Microsoft- und Google-Konten, Cloud-Ressourcen und andere Infrastrukturen. Seine Betreiber nutzten auch abgelaufene Website-Domains legitimer Organisationen aus, indem sie deren Websites neu aufbauten, um betrügerische Konten und Dienste vertrauenswürdig erscheinen zu lassen.
Ermittler verband den Marktplatz mit drei Phishing-Plattformen, bekannt als CoGUI, Haozi und Iron Man System. Diese Dienste ermöglichten es Kriminellen, Angriffe zu starten, ohne eigene Phishing-Websites zu entwickeln, was die technischen Fähigkeiten für groß angelegte Betrugsfälle erheblich reduzierte.
Iron Man wurde im Jahr 2026 besonders bekannt. Die Plattform bot mehr als 2.300 Vorlagen, die Banken, Einzelhändler, Lieferfirmen, Regierungsbehörden und andere Organisationen nachahmen und es Angreifern ermöglichten, Phishing-Seiten auf verschiedene Länder und Branchen zuzuschneiden.
Opfer erhielten typischerweise Phishing-E-Mails oder SMS-SMS, die vor unbezahlten Straßengebühren, Verkehrsstrafen, Lieferproblemen oder Konten warnten, die überprüft werden mussten. Links führten die Empfänger zu überzeugenden Nachahmungswebsites, die Passwörter, Zahlungskarteninformationen und andere persönliche Daten sammeln sollten.
Einige Kampagnen nutzten auch Gerätecode-Phishing, das Nutzer dazu bringen kann, Zugriff auf ihre Microsoft-Konten zu autorisieren. Die Phishing-Plattformen enthielten geografische Einschränkungen, gefälschte CAPTCHA-Prüfungen und andere Mechanismen, die Sicherheitsuntersuchungen verhindern sollten.
Microsoft berichtete, dass das kriminelle Ökosystem mehr als 75.000 Organisationen weltweit ins Visier nahm. Seit Januar 2026 wurden allein über 750 Millionen bösartige Nachrichten an Microsoft-Kunden gerichtet.
Mit Hilfe eines in Florida erlassenen Gerichtsbeschlusses beschlagnahmten und leiteten Microsoft und das Health Information Information Sharing and Analysis Center Domains um, die die Operation unterstützten. Microsoft deaktivierte außerdem mehr als 20.000 zugehörige Konten und blockierte etwa 100.000 Domains, die für Imitation und Betrug verwendet wurden.
Die Untersuchung umfasste zusätzliche Unterstützung von Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs und japanischen Cybersicherheitsorganisationen.
Obwohl die Störung erhebliche kriminelle Infrastruktur beseitigte, stellt sie nicht fest, dass jeder zugehörige Betreiber identifiziert oder gestoppt wurde. Die Ergebnisse zeigen auch, wie kommerzielle Phishing-Dienste groß angelegten Betrug ermöglichen können, indem sie ausgeklügelte Angriffe für Kriminelle mit begrenzter technischer Expertise zugänglich machen.