Microsoft a révélé un écosystème criminel sinophone qui fonctionne comme un marché intégré de services de phishing et relie les développeurs de kits de phishing, les vendeurs d’infrastructures et les attaquants qui achètent ces services pour mener des campagnes à grande échelle. L’entreprise a déclaré que les entités liées à cet écosystème avaient facilité, depuis janvier 2026, l’envoi de plus d’un milliard de courriels et de SMS à plus de 75 000 organisations dans le monde.
Les campagnes ont ciblé des organisations des secteurs de la santé, des services financiers, de la distribution en gros et des technologies de l’information, des victimes ayant été recensées au Japon, aux États-Unis, en Australie et en Inde. En coopération avec les autorités chargées de l’application de la loi et d’autres partenaires, l’unité de lutte contre la criminalité numérique de Microsoft a contribué à perturber les activités des principaux développeurs et de l’infrastructure essentielle de l’écosystème.
Un marché qui vend des accès et des infrastructures
Microsoft a suivi ce marché clandestin sous le nom de Storm-3119. Il fonctionne selon un modèle de courtage d’accès initial sous le nom de YAM Store. Le marché vend des environnements Microsoft et Google compromis ou obtenus par fraude, notamment des comptes, des licences, des espaces de stockage et des domaines qui semblent liés à des organisations réelles ou anciennes.
Selon l’enquête, les opérateurs utilisent des outils automatisés pour identifier les environnements cloud exploitables, puis prennent le contrôle de locataires Microsoft 365 et Azure for Education et les administrent au moyen de tableaux de bord reposant sur PHP, Java/Spring et Cloudflare Workers. Cet accès permet de réinitialiser les mots de passe, d’attribuer des licences éducatives, d’accorder des privilèges élevés, puis de transformer SharePoint et OneDrive en ressources d’hébergement pouvant être vendues.
L’écosystème fournit également la gestion des domaines, des certificats SSL et le routage des sites via Cloudflare, et vend les ressources par l’intermédiaire d’une interface automatisée acceptant les paiements via Alipay, WeChat Pay et USDT. Microsoft a indiqué que les opérateurs avaient aussi créé des organisations fictives et des sites d’assistance pour obtenir de nouveaux locataires, avec un recours possible à du contenu généré par l’intelligence artificielle et à des documents falsifiés.
Des kits de phishing proposés en tant que service
Microsoft a identifié trois kits de phishing vendus via YAM Store : CoGUI, également connu sous les noms NX ou FA, Haozi, connu sous le nom de Phoenix, et Iron Man System. L’entreprise suit les développeurs et l’activité associés à ces kits sous le nom de Storm-2990.
Iron Man System contient plus de 2 335 modèles destinés à plus de 139 pays et usurpe l’identité de marques et d’entités gouvernementales, financières, sanitaires, policières, ainsi que d’organisations liées au transport et au commerce de détail. La plateforme prend en charge la restriction du contenu en fonction de la localisation géographique, de fausses pages CAPTCHA, des listes d’autorisation et de blocage d’adresses IP, ainsi que des paramètres destinés à éviter la détection.
La plateforme envoie également des notifications instantanées via Telegram lorsque la victime saisit ses identifiants, les données de sa carte ou des codes de vérification. Le kit collecte les données via WebSocket, ce qui permet à l’opérateur de suivre l’interaction de la victime et de contrôler manuellement l’étape suivante. Microsoft affirme que ces capacités rapprochent les kits de produits de phishing commerciaux à locataires multiples plutôt que d’outils isolés utilisés par un seul attaquant.
Qu’est-ce qui change concrètement ?
Les résultats montrent que le phishing moderne repose sur une économie de services distribuée : une entité fournit les comptes et le stockage, une autre développe les modèles, et des acheteurs mènent les campagnes finales. Cette division réduit la barrière à l’entrée pour les attaquants moins expérimentés et fait de l’utilisation abusive d’environnements cloud légitimes un maillon d’une chaîne d’approvisionnement criminelle difficile à rattacher à une seule campagne.
Microsoft a observé que l’activité ultérieure comprenait le vol d’identifiants, le phishing au moyen du flux de code de l’appareil afin d’obtenir des jetons d’accès, ainsi que la fraude financière au moyen des données de paiement volées. L’entreprise recommande donc aux organisations de former les utilisateurs aux signes d’urgence et aux liens inattendus, de mettre en œuvre une authentification multifacteur résistante au phishing ou des clés d’accès, et de limiter les privilèges de Global Administrator selon le principe du moindre privilège et de Zero Trust.
Les autres mesures comprennent la révision des paramètres d’Exchange Online Protection et de Microsoft Defender for Office 365, l’activation de Safe Links pour les destinataires internes, la limitation de l’enregistrement des moyens d’authentification à des emplacements et appareils fiables, ainsi que l’activation de la protection réseau pour empêcher l’accès aux domaines et contenus malveillants. Les chiffres et évaluations présentés dans le rapport reposent sur les observations de Microsoft, tandis que la source n’a pas précisé la portée des mesures juridiques détaillées ni la durée de la perturbation.