Een wereldwijde operatie waarbij Japanse autoriteiten en cyberbeveiligingsbedrijven betrokken Microsoft zijn, heeft een groot crimineel netwerk verstoord dat verantwoordelijk is voor het versturen van meer dan een miljard phishing-e-mails en sms’jes. Het netwerk richtte zich op mensen en bedrijven in meer dan 150 landen, waarbij kant-en-klare tools werden gebruikt om zich voor te doen als vertrouwde organisaties en gevoelige informatie te stelen.
Het onderzoek begon nadat de Japanse Nationale Politie Microsoft had gewaarschuwd voor wijdverspreide online fraude. Wat aanvankelijk op aparte phishingcampagnes leek, werd uiteindelijk teruggevoerd naar een verbonden ecosysteem van criminele dienstverlening, waaronder een ondergrondse marktplaats genaamd YAM Store.
YAM Store leverde cybercriminelen gecompromitteerde of frauduleus verkregen Microsoft- en Google-accounts, cloudbronnen en andere infrastructuur. De exploitanten maakten ook misbruik van verlopen websitedomeinen van legitieme organisaties en bouwden hun websites opnieuw op om frauduleuze accounts en diensten betrouwbaar te laten lijken.
Onderzoekers koppelden de marktplaats aan drie phishingplatforms, bekend als CoGUI, Haozi en Iron Man System. Deze diensten stelden criminelen in staat aanvallen te lanceren zonder hun eigen phishingwebsites te ontwikkelen, waardoor de technische vaardigheden die nodig zijn voor grootschalige fraude aanzienlijk werden verminderd.
Iron Man werd bijzonder prominent in 2026. Het platform bood meer dan 2.300 sjablonen die banken, retailers, bezorgbedrijven, overheidsinstanties en andere organisaties imiteerden, waardoor aanvallers phishingpagina’s konden afstemmen op verschillende landen en sectoren.
Slachtoffers ontvingen doorgaans phishing-e-mails of sms-berichten met waarschuwingen voor onbetaalde wegtol, verkeersboetes, bezorgproblemen of accounts die verificatie nodig hadden. Links leidden ontvangers naar overtuigende namaakwebsites die bedoeld waren om wachtwoorden, betaalkaartgegevens en andere persoonlijke gegevens te verzamelen.
Sommige campagnes maakten ook gebruik van apparaatcode-phishing, waarmee gebruikers kunnen worden misleid om toegang tot hun Microsoft-accounts te autoriseren. De phishingplatforms bevatten geografische beperkingen, valse CAPTCHA-controles en andere mechanismen die bedoeld waren om beveiligingsonderzoeken te frustreren.
Microsoft meldde dat het criminele ecosysteem meer dan 75.000 organisaties wereldwijd als doelwit was. Sinds januari 2026 werden er alleen al meer dan 750 miljoen kwaadaardige berichten gericht op Microsoft-klanten.
Met behulp van een gerechtelijk bevel dat in Florida was uitgevaardigd, namen Microsoft en het Health Information Sharing and Analysis Center domeinen die de operatie ondersteunden in beslag en herleidden ze. Microsoft schakelde ook meer dan 20.000 gekoppelde accounts uit en blokkeerde ongeveer 100.000 domeinen die werden gebruikt voor imitatie en fraude.
Het onderzoek omvatte extra hulp van Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs en Japanse cybersecurityorganisaties.
Hoewel de verstoring aanzienlijke criminele infrastructuur heeft verwijderd, wordt niet aangetoond dat elke bijbehorende operator is geïdentificeerd of gestopt. De bevindingen tonen ook aan hoe commerciële phishingdiensten grootschalige fraude mogelijk kunnen maken door geavanceerde aanvallen toegankelijk te maken voor criminelen met beperkte technische expertise.