Alisina NawabiMicrosoft en Health-ISAC nemen domeinen achter YAM Store, CoGUI en Iron Man over en leiden ze om, nadat die diensten sinds januari ruim één miljard phishingberichten mogelijk maakten, meldt Microsoft.
Voor Nederlandse organisaties met Microsoft 365 of Azure zit de blootstelling aan twee kanten. Medewerkers kunnen zulke lokberichten ontvangen, terwijl een misbruikte tenant, licentie of OneDrive-ruimte zelf infrastructuur voor nieuwe campagnes kan leveren. De ingreep raakt dus ook aan wie toegang tot cloudaccounts en opslag kan krijgen.
YAM Store verkocht de bouwstenen
Het onderzoek begon eind 2025, toen de Japanse politie Microsoft wees op frauduleuze berichten. Onderzoekers vonden een keten van een winkel voor cloudtoegang, makers van phishingkits en klanten die de kits inzetten.
YAM Store werkte als een marktplaats voor cloudtoegang. De winkel verkocht gecompromitteerde of frauduleus verkregen Microsoft- en Google-omgevingen aan criminelen, met accounts, licenties en opslag. Soms kochten beheerders verlopen domeinen van echte organisaties en bouwden ze de websites opnieuw op om Microsoft 365-accounts te verkrijgen. Microsofts technische analyse beschrijft hoe aanvallers Azure for Education-tenants en gestolen applicatiegegevens gebruikten en SharePoint- en OneDrive-opslag misbruikten.
De kits vormden de volgende laag. CoGUI (NX of FA), Haozi en Iron Man System boden pagina’s die banken, overheden, bezorgdiensten en zorginstellingen nabootsten. Iron Man werd in juni 2026 aangeboden en bevatte volgens Microsoft meer dan 2.335 sjablonen voor 139 landen. Operators kregen soms via Telegram bericht als iemand gegevens invulde. Microsoft beschrijft apparaatcode-aanvallen op Microsoft-aanmeldingen waarmee aanvallers in sommige gevallen toegangstokens verkregen.
De campagnecijfers tellen berichten
De drie diensten maakten sinds januari meer dan één miljard schadelijke e-mails en sms-berichten mogelijk, gericht op ruim 75.000 organisaties in meer dan 150 landen, zegt Microsoft. Meer dan 750 miljoen berichten waren op Microsoft-klanten gericht. De aankondiging geeft geen apart aantal afgeleverde berichten, geopende lokpagina’s of geslaagde accountovernames. De cijfers meten dus campagnevolume. Ze melden geen miljard slachtoffers of 75.000 bevestigde inbraken.
Microsoft schakelde meer dan 20.000 accounts uit die met YAM Store verbonden waren en blokkeert meer dan 100.000 domeinen voor imitatie en fraude. Het bedrijf zegt niet dat het 20.000 accounts van slachtoffers waren. De domeinen achter de diensten werden op bevel van de federale rechtbank in Zuid-Florida overgenomen en omgeleid. Dit zijn cijfers over verwijderde infrastructuur, niet over getroffen organisaties.
De cijfers over Iron Man verschillen per onderzoek. Microsoft telt meer dan 2.335 sjablonen voor 139 landen. Resecurity kocht een licentie, onderzocht de kit in een afgesloten laboratorium en telde 2.360 catalogusvermeldingen voor 130 doelgebieden. De nieuwste vermelding in die momentopname was van 1 oktober. De bronnen gebruiken niet dezelfde telcategorie en publiceren geen aansluiting tussen de uitkomsten. De verschillen zijn daarom een reden om de meeteenheden apart te houden, niet om de aantallen bij elkaar op te tellen.
CoGUI bestond al vóór deze takedown
CoGUI bestaat al langer. Proofpoint zag de kit vanaf oktober 2024 en volgde hem vanaf december. Het registreerde gemiddeld vijftig campagnes per maand en ruim 172 miljoen berichten in januari 2025. Dat komt uit Proofpoints eigen e-mailwaarnemingen en is niet één op één te vergelijken met Microsofts latere totaal voor drie diensten. Het laat zien dat de kit al vóór deze actie op grote schaal draaide.
Microsoft zegt dat CoGUI vooral slachtoffers in Japan en de Verenigde Staten trof en dat Iron Man het aanbod vanaf medio 2026 steeds vaker verving. Resecurity vond 911 gepubliceerde bouwversies en een catalogus die tot 1 oktober werd bijgewerkt. Dat wijst erop dat de kit kort voor de bekendgemaakte verstoring nog actief werd onderhouden.
De markt voor kant-en-klare aanvallen heeft meer aanbieders. Greatness bood een abonnement van 289 dollar per maand voor apparaatcode-phishing en een tussenproxy. In september werd EvilTokens door Microsoft gekoppeld aan ruim 12.000 gecompromitteerde inboxen bij meer dan 10.000 organisaties. Greatness en EvilTokens laten zien dat verhuurde toegang en kant-en-klare lokmiddelen ook buiten deze drie diensten terugkomen.
Het bevel treft één laag van de keten
De procespagina noemt Microsoft en Health-ISAC als eisers in een civiele zaak tegen Yang Jian, handelend als YAM Store, en andere gedaagden. Microsoft verkreeg een tijdelijk bevel en vraagt om voorlopige en definitieve maatregelen. De verzegelde beschikking werd op 7 oktober bij de federale rechtbank in Zuid-Florida ingediend; de procespagina verscheen op 14 oktober. Het gaat om een tijdelijke maatregel en beschuldigingen, geen definitieve uitspraak over schuld.
Microsoft en Health-ISAC namen de domeinen over die de winkel en kits ondersteunden. Microsoft zegt ook infrastructuur op eigen diensten te verwijderen en domeinen voor fraude te blokkeren. De technische analyse meldt dat het bredere ecosysteem ook cloudaanbieders buiten Microsoft gebruikte. Dit bevel raakt dus een leveranciersroute; de aankondiging zegt niet hoe snel operators nieuwe accounts of domeinen kunnen inzetten.
Voor een organisatie met Microsoft 365 of Azure kan dezelfde omgeving doelwit zijn en opslag of distributieruimte leveren zodra een account wordt misbruikt. Dat maakt een cloudtenant relevant aan zowel de ontvangende als de verzendende kant van een campagne. Microsoft zegt dat de aanwezigheid van een merk in de lokpagina’s niet betekent dat het merk zelf is binnengedrongen.
Veelgestelde vragen
Van melding tot opvolging
Ik denk mee, ontwerp en bouw de hele route van een verdachte melding tot opvolging. Waar dat helpt automatiseer ik die, self-hosted waar dat kan.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
