Japon yetkililer ve siber güvenlik şirketlerini içeren Microsoft küresel bir operasyon, bir milyardan fazla oltalama e-postası ve metin mesajı gönderen büyük bir suç ağını bozdu. Ağ, 150’den fazla ülkede insanları ve işletmeleri hedef aldı; güvenilir kuruluşları taklit etmek ve hassas bilgileri çalmak için hazır araçlar kullandı.
Soruşturma, Japonya Ulusal Polis Ajansı’nın Microsoft’u yaygın çevrimiçi dolandırıcılık konusunda uyarmasının ardından başladı. Başlangıçta ayrı bir oltalama kampanyası gibi görünen bu kampanya, sonunda YAM Store adlı yeraltı pazarı da dahil olmak üzere bağlantılı bir suç hizmetleri ekosistemine kadar izlendi.
YAM Store, siber suçlulara tehlikeye girmiş veya sahte bir şekilde elde edilen Microsoft ve Google hesapları, bulut kaynakları ve diğer altyapılar sağladı. Operatörleri ayrıca yasal kuruluşlara ait süresi dolmuş web sitesi alan adlarını sömürerek, sahte hesapları ve hizmetleri güvenilir göstermek için web sitelerini yeniden inşa etti.
Araştırmacılar, pazar yerini CoGUI, Haozi ve Iron Man System olarak bilinen üç oltalama platformuna bağladı. Bu hizmetler, suçluların kendi oltalama sitelerini geliştirmeden saldırılar başlatmasına olanak tanıdı ve büyük çaplı dolandırıcılık yapmak için gereken teknik becerileri önemli ölçüde azalttı.
Iron Man özellikle 2026 yılında öne çıktı. Platform, bankaları, perakendecileri, teslimat şirketlerini, devlet kurumlarını ve diğer kuruluşları taklit eden 2.300’den fazla şablon sunarak saldırganların oltalama sayfalarını farklı ülkelere ve sektörlere uyarlamasına olanak tanıyordu.
Mağdurlar genellikle ödenmemiş yol ücretleri, trafik cezaları, teslimat sorunları veya doğrulama gerektiren hesaplar hakkında uyarı veren oltalama e-postaları veya SMS mesajları alıyordu. Bağlantılar, alıcıları şifre, ödeme kartı bilgileri ve diğer kişisel bilgileri toplamak için tasarlanmış ikna edici sahte sitelere yönlendirdi.
Bazı kampanyalar ayrıca cihaz kodu oltalaması da kullandı; bu da kullanıcıları Microsoft hesaplarına erişim yetkisi için kandırabiliyordu. Oltalama platformları, coğrafi kısıtlamalar, sahte CAPTCHA kontrolleri ve güvenlik soruşturmalarını engellemeye yönelik diğer mekanizmalar içeriyordu.
Microsoft, suç ekosisteminin dünya çapında 75.000’den fazla kuruluşu hedef aldığını bildirdi. Ocak 2026’dan bu yana yalnızca Microsoft müşterilerine yönelik 750 milyondan fazla kötü amaçlı mesaj gönderildi.
Florida’da çıkarılan bir mahkeme kararıyla Microsoft ve Sağlık Bilgi Paylaşım ve Analiz Merkezi, operasyonu destekleyen alan alanlarını el koyup yönlendirdi. Microsoft ayrıca 20.000’den fazla ilişkili hesabı devre dışı bıraktı ve taklit ve dolandırıcılık için kullanılan yaklaşık 100.000 alan adını engelledi.
Soruşturma, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs ve Japon siber güvenlik kuruluşlarından ek destek aldı.
Bu kesinti önemli suç altyapısını ortadan kaldırsa da, ilgili her operatörün tespit edildiğini veya durdurulduğunu kanıtlamamaktadır. Bulgular ayrıca, ticari oltalama hizmetlerinin sınırlı teknik uzmanlığa sahip suçlulara gelişmiş saldırıları erişilebilir kılarak büyük ölçekli dolandırıcılığı nasıl mümkün kılabileceğini gösteriyor.