Un’operazione globale che coinvolge Microsoft autorità giapponesi e aziende di cybersecurity ha interrotto una vasta rete criminale responsabile dell’invio di oltre un miliardo di email e messaggi di testo di phishing. La rete ha preso di mira persone e imprese in oltre 150 paesi, utilizzando strumenti pronti a l’uso per impersonare organizzazioni affidabili e rubare informazioni sensibili.
L’indagine è iniziata dopo che l’Agenzia Nazionale di Polizia del Giappone ha avvertito Microsoft di una frode online diffusa. Quelle che inizialmente sembravano campagne di phishing separate sono state infine rintracciate a un ecosistema connesso di servizi criminali, incluso un marketplace clandestino chiamato YAM Store.
YAM Store forniva ai cybercriminali account Microsoft e Google compromessi o ottenuti fraudolentamente, risorse cloud e altre infrastrutture. I suoi operatori sfruttavano anche domini web scaduti appartenenti a organizzazioni legittime, ricostruendo i loro siti web per far apparire account e servizi fraudolenti affidabili.
Gli investigatori hanno collegato il mercato a tre piattaforme di phishing note come CoGUI, Haozi e Iron Man System. Questi servizi hanno permesso ai criminali di lanciare attacchi senza sviluppare propri siti di phishing, riducendo significativamente le competenze tecniche necessarie per compiere frodi su larga scala.
Iron Man è diventato particolarmente noto nel 2026. La piattaforma ha offerto più di 2.300 modelli che imitano banche, rivenditori, aziende di consegna, agenzie governative e altre organizzazioni, permettendo agli aggressori di adattare le pagine di phishing a diversi paesi e settori.
Le vittime ricevevano tipicamente email o SMS di phishing che avvertivano di pedaggi stradali non pagati, multe stradali, problemi di consegna o account da verificare. I link indirizzavano i destinatari a siti web di imitazione convincenti progettati per raccogliere password, informazioni sulle carte di pagamento e altri dati personali.
Alcune campagne hanno anche utilizzato il phishing tramite codice dispositivo, che può ingannare gli utenti facendogli autorizzare l’accesso ai loro account Microsoft. Le piattaforme di phishing hanno incorporato restrizioni geografiche, falsi controlli CAPTCHA e altri meccanismi volti a ostacolare le indagini di sicurezza.
Microsoft ha riferito che l’ecosistema criminale ha preso di mira più di 75.000 organizzazioni in tutto il mondo. Da gennaio 2026, oltre 750 milioni di messaggi dannosi sono stati indirizzati solo ai clienti Microsoft.
Utilizzando un ordine del tribunale emisso in Florida, Microsoft e il Health Information Sharing and Analysis Center hanno sequestrato e reindirizzato i domini a supporto dell’operazione. Microsoft ha inoltre disabilitato oltre 20.000 account associati e bloccato circa 100.000 domini utilizzati per usufragazione e frode.
L’indagine ha coinvolto ulteriore assistenza da parte di Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs e organizzazioni giapponesi di cybersecurity.
Sebbene la disgregazione abbia rimosso un’infrastruttura criminale sostanziale, non dimostra che ogni operatore associato sia stato identificato o fermato. I risultati mostrano anche come i servizi di phishing commerciali possano permettere frodi su larga scala rendendo attacchi sofisticati accessibili a criminali con competenze tecniche limitate.