Microsoft와 법 집행 기관 및 사이버 보안 파트너들은 150개국에서 7만 5,000곳이 넘는 기관을 대상으로 10억 건 이상의 악성 메시지를 발송할 수 있게 한 대규모 범죄 생태계를 무력화했다고 발표했다. 이번 작전은 YAM Store(Storm-3119라는 이름으로도 알려짐)와 Microsoft가 Storm-2990 내에서 CoGUI, Haozi, Iron Man System이라는 이름으로 추적하는 관련 피싱 플랫폼을 중심으로 진행됐다.
이번 작전은 Microsoft와 일본 경찰청(NPA)이 일련의 사기 활동에 대해 시작한 조사 이후 이루어졌다. Microsoft에 따르면 올해 초부터 7억 5,000만 건이 넘는 메시지가 이메일과 문자 메시지를 통해 자사 고객을 겨냥했으며, 여러 캠페인에서 인증 코드를 탈취하기 위해 디바이스 코드 기반 피싱 기법을 사용했다.
단순한 캠페인 그룹이 아닌 피싱 서비스 시장
조사 결과 YAM Store는 침해되었거나 사기 수법으로 획득한 Microsoft와 Google 환경 및 계정, 라이선스, 저장 공간을 판매한 것으로 드러났다. 운영자들은 실제 기관에 속한 만료된 도메인을 악용한 뒤 해당 기관의 사이트를 재구성해 활성 상태인 것처럼 보이게 했으며, 그 신원을 이용해 클라우드 계정을 확보했다.
또한 인공지능 도구로 생성한 콘텐츠와 문서로 뒷받침되는 가짜 기관을 만들었다. Microsoft의 침해된 환경에서는 도난당한 애플리케이션 자격 증명을 사용해 계정과 라이선스를 관리했으며, SharePoint와 OneDrive는 피싱 콘텐츠를 호스팅하는 데 악용됐다.
다양한 템플릿과 분석 방해 기법
피싱 그룹들은 교통 위반, 미납 통행료, 배송 문제, 계정 확인 요청을 미끼로 사용했다. 또한 지리적 위치 확인 기능, 가짜 CAPTCHA 페이지, IP 주소 필터링을 지원했으며, 이는 연구자와 보호 시스템으로부터 인프라를 숨기기 위한 수단이었다.
CoGUI는 미국과 일본의 피해자를 겨냥했지만, Iron Man은 2026년 중반에 이르러 가장 주요한 플랫폼이 됐다. 이 플랫폼에는 은행, 상점, 배송 서비스, 정부 기관을 사칭하는 2,300개가 넘는 템플릿이 포함됐다. 조사에 참여한 Resecurity는 911개의 게시된 빌드와 8개의 등록 계정이 포함된 공개 빌드 및 컨테이너 레지스트리를 확인했으며, 카드 데이터를 수집하는 기능과 연계된 상품 선택 시스템도 확인했다. 피싱 패키지 카탈로그는 130개 국가와 지역을 아우르는 2,360개 패키지에 달했으며, 2026년 10월 1일까지 업데이트가 이루어졌다.
실제로 무엇이 달라졌나?
미국 플로리다 남부 연방지방법원의 명령에 따라 Microsoft와 Health-ISAC는 YAM Store, CoGUI, Iron Man을 지원하는 도메인을 압수하고 해당 도메인으로의 접속을 재지정했다. 또한 Microsoft는 시장과 연계된 2만 개가 넘는 계정을 비활성화하고, 신원 사칭과 사기에 사용된 10만 개의 도메인을 차단했다.
이번 작전은 현대의 피싱이 단일 캠페인에 의존하는 대신 인프라, 계정, 템플릿을 판매하는 확장 가능한 서비스 시장으로 작동한다는 점을 보여준다. 그러나 도메인과 계정을 차단했다고 해서 활동이 끝난 것은 아니다. Microsoft는 추가 인프라 제거가 여전히 진행 중이라고 밝혔으며, 아직 발견되지 않은 인프라의 규모는 여전히 미해결 질문으로 남아 있다.
Microsoft와 NPA 외에도 JC3, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs가 조사에 참여했다. Proofpoint는 2024년 말 일본을 겨냥한 캠페인을 CoGUI 그룹과 지속적으로 연계했으며, 유명 일본 기업과 국제기구를 사칭해 자격 증명과 결제 정보를 탈취하는 데 초점을 맞췄다고 밝혔다.