Une opération mondiale impliquant Microsoft des autorités japonaises et des entreprises de cybersécurité a perturbé un vaste réseau criminel responsable de l’envoi de plus d’un milliard d’emails et de messages texte de phishing. Le réseau a ciblé des personnes et des entreprises dans plus de 150 pays, utilisant des outils prêts à l’emploi pour se faire passer pour des organisations de confiance et voler des informations sensibles.
L’enquête a débuté après que l’Agence nationale de police japonaise a alerté Microsoft sur une fraude en ligne généralisée. Ce qui semblait initialement être des campagnes de phishing distinctes a finalement été retracé à un écosystème connecté de services criminels, y compris une place de marché clandestine appelée YAM Store.
YAM Store fournissait aux cybercriminels des comptes Microsoft et Google compromis ou frauduleusement obtenus, des ressources cloud et d’autres infrastructures. Ses opérateurs exploitaient également des domaines web expirés appartenant à des organisations légitimes, reconstruisant leurs sites pour rendre les comptes et services frauduleux dignes de confiance.
Les enquêteurs ont relié le marché à trois plateformes de phishing connues sous les noms de CoGUI, Haozi et Iron Man System. Ces services ont permis aux criminels de lancer des attaques sans développer leurs propres sites de phishing, réduisant considérablement les compétences techniques nécessaires pour mener des fraudes à grande échelle.
Iron Man est devenu particulièrement en vue en 2026. La plateforme proposait plus de 2 300 modèles imitant les banques, distributeurs, sociétés de livraison, agences gouvernementales et autres organisations, permettant aux attaquants d’adapter les pages de phishing à différents pays et secteurs.
Les victimes recevaient généralement des e-mails ou SMS de phishing avertissant des péages routiers impayés, des amendes de circulation, des problèmes de livraison ou des comptes nécessitant une vérification. Les liens dirigeaient les destinataires vers des sites web d’imitation convaincants conçus pour collecter des mots de passe, des informations de cartes de paiement et d’autres informations personnelles.
Certaines campagnes utilisaient également le phishing par code d’appareil, qui pouvait tromper les utilisateurs en les obligeant à accéder à leurs comptes Microsoft. Les plateformes de phishing intégraient des restrictions géographiques, de fausses vérifications CAPTCHA et d’autres mécanismes destinés à entraver les enquêtes de sécurité.
Microsoft a rapporté que l’écosystème criminel ciblait plus de 75 000 organisations dans le monde. Depuis janvier 2026, plus de 750 millions de messages malveillants ont été adressés uniquement aux clients de Microsoft.
Grâce à une ordonnance judiciaire émise en Floride, Microsoft et le Health Information Sharing and Analysis Center ont saisi et redirigé les domaines soutenant l’opération. Microsoft a également désactivé plus de 20 000 comptes associés et bloqué environ 100 000 domaines utilisés pour l’usurpation d’identité et la fraude.
L’enquête a impliqué une assistance supplémentaire de Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs et des organisations japonaises de cybersécurité.
Bien que la perturbation ait supprimé une infrastructure criminelle substantielle, elle n’établit pas que chaque opérateur associé ait été identifié ou arrêté. Les résultats montrent également comment les services de phishing commerciaux peuvent permettre la fraude à grande échelle en rendant des attaques sophistiquées accessibles aux criminels ayant une expertise technique limitée.