Depuis janvier 2026, Microsoft a démantelé un réseau mondial de cybercriminalité lié à plus d’un milliard de messages malveillants ciblant des particuliers et plus de 75 000 organisations dans le monde.
Dans une annonce du 14 octobre, Microsoft a déclaré avoir travaillé avec Health-ISAC pour saisir et rediriger les domaines servant de support à trois services criminels interconnectés : YAM Store, CoGUI et Iron Man. Ces services permettaient aux criminels d’usurper l’identité d’organisations de confiance, de voler des identifiants et de mener des campagnes de phishing dans plus de 150 pays.
À eux seuls, les clients de Microsoft ont été ciblés par plus de 750 millions de messages. Cette opération met en évidence la façon dont l’infrastructure de phishing commercialisée permet aux criminels de lancer des attaques à très grande échelle, créant des risques persistants pour les entreprises même après le démantèlement de campagnes individuelles.
Microsoft saisit des domaines servant de support à une opération mondiale de phishing
Microsoft et la National Police Agency du Japon ont enquêté sur une vague de campagnes de messages frauduleux ciblant les particuliers et les entreprises au Japon, mettant au jour un écosystème de cybercriminalité international bien plus vaste.
Leur enquête a conduit à une place de marché en langue chinoise où les criminels pouvaient acheter des comptes compromis et des infrastructures cloud, ainsi que des services de phishing proposant des sites web frauduleux et des modèles d’usurpation prêts à l’emploi.
Selon Microsoft Threat Intelligence, l’écosystème comprenait plusieurs services interconnectés :
- YAM Store : une place de marché clandestine vendant l’accès à des environnements cloud Microsoft et Google compromis ou obtenus frauduleusement, notamment des comptes, licences et espaces de stockage Microsoft 365 utilisés pour soutenir des campagnes de phishing.
- CoGUI : un kit de phishing fournissant des sites web et des messages frauduleux usurpant l’identité d’organisations légitimes.
- Iron Man : un service de phishing proposant des milliers de modèles conçus pour usurper l’identité de banques, de commerçants, d’organismes publics et d’autres entités de confiance.
Microsoft suit YAM Store sous le nom de Storm-3119. Séparément, l’entreprise suit sous le nom de Storm-2990 un groupe d’activités associé à CoGUI, Haozi et Iron Man. Haozi était un autre kit de phishing commercialisé via YAM Store, bien que l’annonce du 14 octobre concernant l’opération ait porté sur YAM Store, CoGUI et Iron Man.
L’entreprise a déclaré que les similitudes entre les trois kits de phishing suggéraient des origines communes en matière de développement, une réutilisation de code ou une étroite collaboration entre leurs développeurs.
Microsoft a déclaré que les enquêteurs avaient identifié plus de 2 300 modèles de phishing Iron Man usurpant l’identité de banques, de commerçants, de prestataires de santé, d’organismes publics et d’autres organisations dans plus de 150 pays.
L’activité ciblait les secteurs de la santé, des services financiers, des technologies de l’information et d’autres industries. Toutefois, le fait qu’une organisation soit usurpée par un modèle de phishing ne signifie pas nécessairement que ses systèmes ont été compromis.
En vertu d’une ordonnance du tribunal fédéral des États-Unis pour le district sud de la Floride, Microsoft et Health-ISAC ont saisi et redirigé les domaines associés à l’infrastructure soutenant YAM Store, CoGUI et Iron Man.
Au 14 octobre, Microsoft avait désactivé plus de 20 000 comptes liés à YAM Store et continuait de supprimer l’infrastructure de ses services et de bloquer plus de 100 000 domaines utilisés pour l’usurpation d’identité et la fraude.
L’opération visait les fournisseurs d’infrastructures de phishing plutôt que les campagnes d’escroquerie individuelles. Bien que Microsoft ait perturbé des composants importants du réseau, cette action n’élimine pas l’écosystème de phishing dans son ensemble.
Ce que le démantèlement de cette opération de phishing signifie pour les équipes de sécurité des entreprises
L’ampleur de l’opération illustre la façon dont le phishing a évolué pour devenir un service commercial permettant aux attaquants d’acheter une infrastructure plutôt que de développer leurs propres outils.
YAM Store fournissait un accès à des environnements Microsoft et Google, ce qui pouvait rendre les activités malveillantes plus crédibles. Certains comptes étaient associés à des domaines organisationnels expirés, tandis que d’autres concernaient des entités frauduleuses créées pour obtenir des services cloud.
Ces techniques compliquent la détection, car les messages malveillants peuvent provenir d’une infrastructure apparemment légitime. Le problème dépasse le phishing classique par e-mail. L’enquête de Microsoft a documenté des attaques impliquant des e-mails, des SMS et le vol d’identifiants, tandis que son rapport technique a également examiné l’abus de l’authentification et de l’infrastructure cloud.
Dans un précédent article, eSecurityPlanet a examiné comment les attaques de phishing par clé d’accès Microsoft 365 pouvaient permettre un accès non autorisé aux données cloud des entreprises.
D’autres campagnes ont exploité les services Google pour dissimuler des redirections de phishing. Par ailleurs, eSecurityPlanet a rapporté que les connexions Microsoft 365 malveillantes pouvaient se fondre dans l’activité légitime, rendant les comptes compromis plus difficiles à détecter.
Bien qu’il s’agisse d’incidents distincts, ils montrent pourquoi le simple blocage des domaines suspects ne suffit pas.
Le rapport de Microsoft sur les cybermenaces recommande de renforcer les protections des identités, d’améliorer la sécurité des e-mails et de sensibiliser les utilisateurs aux techniques de phishing. Pour les équipes de sécurité des entreprises, ses conclusions mettent en avant trois priorités :
- Renforcer la sécurité des identités : déployer une authentification multifacteur résistante au phishing lorsqu’elle est prise en charge, appliquer le principe du moindre privilège et utiliser des stratégies d’accès conditionnel pour protéger les comptes sensibles.
- Améliorer la détection du phishing : vérifier les paramètres de Microsoft Defender for Office 365 et d’Exchange Online Protection, examiner les messages suspects et vérifier les demandes inattendues par des canaux de communication de confiance.
- Se préparer aux comptes compromis : surveiller les connexions et les changements d’authentification inhabituels, révoquer les sessions compromises et examiner les activités cloud non autorisées.
Les organisations doivent également surveiller les campagnes de phishing usurpant leur marque, en particulier lorsque les criminels utilisent des domaines ou des sites web frauduleux pour cibler leurs clients.
Le bénéfice immédiat de l’action de Microsoft est la perturbation de l’infrastructure soutenant les fraudes à grande échelle. Toutefois, cette action n’élimine pas l’écosystème de phishing au sens large, et les organisations doivent continuer à se préparer à des attaques similaires menées par d’autres services criminels.
Pour les responsables de la défense des entreprises, la leçon à retenir est que les campagnes de phishing dépendent de plus en plus de fournisseurs interconnectés de comptes, d’hébergement et d’outils d’attaque. Perturber ces fournisseurs peut augmenter le coût de la cybercriminalité, mais les organisations ont toujours besoin de défenses en profondeur capables de détecter les activités malveillantes, même lorsqu’elles exploitent une infrastructure de confiance.
Pour en savoir plus sur les efforts de Microsoft visant à démanteler les opérations de phishing-as-a-service, lisez comment l’entreprise a démantelé le réseau de phishing RaccoonO365, qui ciblait les identifiants Microsoft 365 via un service criminel mondial.