أعلنت Microsoft وشركاؤها في إنفاذ القانون والأمن السيبراني تعطيل منظومة إجرامية واسعة مكّنت من إرسال أكثر من مليار رسالة خبيثة واستهداف ما يزيد على 75 ألف مؤسسة في 150 دولة. وتركزت العملية حول سوق YAM Store، المعروف أيضاً باسم Storm-3119، ومنصات تصيد مرتبطة به تتعقبها Microsoft تحت أسماء CoGUI وHaozi وIron Man System ضمن Storm-2990.
وجاءت العملية بعد تحقيق بدأته Microsoft والوكالة الوطنية للشرطة في اليابان (NPA) بشأن موجة من الأنشطة الاحتيالية. ووفق Microsoft، استهدفت أكثر من 750 مليون رسالة منذ بداية العام عملاءها عبر البريد الإلكتروني والرسائل النصية، مع استخدام حملات عديدة لأسلوب تصيد يعتمد على رموز الأجهزة بهدف الحصول على رموز المصادقة.
سوق لخدمات التصيد وليس مجرد مجموعة حملات
كشفت التحقيقات أن YAM Store كان يبيع بيئات Microsoft وGoogle وحساباتهما وتراخيصهما ومساحات التخزين، سواء بعد اختراقها أو الحصول عليها بطرق احتيالية. واستغل المشغلون نطاقات منتهية تعود إلى مؤسسات حقيقية، ثم أعادوا بناء مواقعها لتبدو نشطة واستخدموا هوياتها للحصول على حسابات سحابية.
كما أنشأوا مؤسسات وهمية مدعومة بمحتوى ووثائق مولدة باستخدام أدوات الذكاء الاصطناعي. وفي البيئات المخترقة لدى Microsoft، استُخدمت بيانات اعتماد تطبيقات مسروقة لإدارة الحسابات والتراخيص، بينما جرى استغلال SharePoint وOneDrive لاستضافة محتوى التصيد.
قوالب متعددة وأساليب لتعطيل التحليل
وفرت مجموعات التصيد طعماً يعتمد على مخالفات المرور ورسوم الطرق غير المدفوعة ومشكلات التوصيل وطلبات التحقق من الحسابات. كما دعمت خاصية تحديد الموقع الجغرافي، وصفحات CAPTCHA مزيفة، وترشيح عناوين IP، وهي وسائل تهدف إلى إخفاء البنية عن الباحثين وأنظمة الحماية.
استهدفت CoGUI ضحايا في الولايات المتحدة واليابان، لكن Iron Man أصبحت بحلول منتصف 2026 المنصة الأبرز، إذ تضمنت أكثر من 2,300 قالب ينتحل بنوكاً ومتاجر وخدمات توصيل وجهات حكومية. وحددت شركة Resecurity، التي شاركت في التحقيق، سجلاً عاماً للبناء والحاويات يضم 911 نسخة منشورة وثمانية حسابات مسجلة، إضافة إلى نظام لاختيار المنتجات مرتبط بالتقاط بيانات البطاقات. وبلغ كتالوج حزم التصيد 2,360 حزمة تغطي 130 دولة ومنطقة، مع تحديثات حتى 1 أكتوبر 2026.
ما الذي تغير عملياً؟
بموجب أمر من المحكمة الجزئية الأمريكية للمنطقة الجنوبية من فلوريدا، صادرت Microsoft وHealth-ISAC نطاقات داعمة لـYAM Store وCoGUI وIron Man وأعادت توجيهها. كما عطلت Microsoft أكثر من 20 ألف حساب مرتبط بالسوق وحجبت 100 ألف نطاق استُخدم في انتحال الهوية والاحتيال.
تكشف العملية أن التصيد المعاصر يعمل كسوق خدمات قابل للتوسع، يبيع البنية والحسابات والقوالب بدلاً من الاعتماد على حملة منفردة. ومع ذلك، لا يعني حجب النطاقات والحسابات انتهاء النشاط؛ فقد قالت Microsoft إن إزالة بنية إضافية ما زالت مستمرة، بينما يظل حجم البنية التي لم تُكتشف بعد سؤالاً مفتوحاً.
وشارك في التحقيق، إلى جانب Microsoft وNPA، كل من JC3 وResecurity وCloudflare وOracle وProofpoint وTRM Labs. وكانت Proofpoint قد ربطت في أواخر 2024 حملات استهدفت اليابان باستمرار بمجموعة CoGUI، مع تركيز على سرقة بيانات الاعتماد والدفع عبر انتحال شركات يابانية معروفة ومنظمات دولية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.