Microsoft et ses partenaires des forces de l’ordre et de la cybersécurité ont annoncé le démantèlement d’un vaste dispositif criminel qui a permis d’envoyer plus d’un milliard de messages malveillants et de cibler plus de 75 000 organisations dans 150 pays. L’opération s’est concentrée sur le marché YAM Store, également connu sous le nom de Storm-3119, ainsi que sur des plateformes d’hameçonnage qui lui sont liées et que Microsoft suit sous les noms CoGUI, Haozi et Iron Man System au sein de Storm-2990.
L’opération fait suite à une enquête menée par Microsoft et l’Agence nationale de police du Japon (NPA) concernant une vague d’activités frauduleuses. Selon Microsoft, plus de 750 millions de messages ont ciblé ses clients par e-mail et SMS depuis le début de l’année, de nombreuses campagnes utilisant une technique d’hameçonnage fondée sur des codes d’appareil afin d’obtenir des codes d’authentification.
Un marché de services d’hameçonnage, et non un simple ensemble de campagnes
Les enquêtes ont révélé que YAM Store vendait des environnements Microsoft et Google, ainsi que leurs comptes, licences et espaces de stockage, qu’ils aient été compromis ou obtenus par des moyens frauduleux. Les opérateurs exploitaient des domaines expirés appartenant à de véritables organisations, puis reconstruisaient leurs sites afin de les faire paraître actifs et utilisaient leur identité pour obtenir des comptes cloud.
Ils créaient également de fausses organisations soutenues par des contenus et des documents générés à l’aide d’outils d’intelligence artificielle. Dans les environnements Microsoft compromis, des identifiants d’applications volés étaient utilisés pour gérer les comptes et les licences, tandis que SharePoint et OneDrive servaient à héberger du contenu d’hameçonnage.
Des modèles multiples et des méthodes destinées à entraver l’analyse
Les groupes d’hameçonnage proposaient des leurres fondés sur des infractions au code de la route, des frais de péage impayés, des problèmes de livraison et des demandes de vérification de comptes. Ils prenaient également en charge la géolocalisation, de fausses pages CAPTCHA et le filtrage des adresses IP, des moyens visant à dissimuler l’infrastructure aux chercheurs et aux systèmes de protection.
CoGUI ciblait des victimes aux États-Unis et au Japon, mais Iron Man était devenue, à la mi-2026, la plateforme dominante, avec plus de 2 300 modèles usurpant l’identité de banques, de magasins, de services de livraison et d’organismes gouvernementaux. Resecurity, qui a participé à l’enquête, a identifié un registre public de versions et de conteneurs contenant 911 versions publiées et huit comptes enregistrés, ainsi qu’un système de sélection de produits associé à la collecte de données de cartes bancaires. Le catalogue de kits d’hameçonnage comptait 2 360 kits couvrant 130 pays et régions, avec des mises à jour jusqu’au 1er octobre 2026.
Qu’est-ce qui a changé concrètement ?
En vertu d’une ordonnance du tribunal fédéral du district sud de la Floride, Microsoft et Health-ISAC ont saisi et redirigé des domaines soutenant YAM Store, CoGUI et Iron Man. Microsoft a également désactivé plus de 20 000 comptes liés au marché et bloqué 100 000 domaines utilisés pour l’usurpation d’identité et la fraude.
L’opération montre que l’hameçonnage moderne fonctionne comme un marché de services évolutif, qui vend l’infrastructure, les comptes et les modèles au lieu de reposer sur une seule campagne. Toutefois, le blocage des domaines et des comptes ne signifie pas la fin de l’activité : Microsoft a déclaré que le retrait d’infrastructures supplémentaires se poursuivait, tandis que l’ampleur de l’infrastructure encore inconnue demeure une question ouverte.
Outre Microsoft et la NPA, JC3, Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs ont participé à l’enquête. Fin 2024, Proofpoint avait établi un lien entre des campagnes ciblant continuellement le Japon et le groupe CoGUI, en mettant l’accent sur le vol d’identifiants et de données de paiement par l’usurpation de sociétés japonaises connues et d’organisations internationales.