Microsoft і Японія викрили мережу кіберзлочинців, яка атакувала організації у понад 150 країнах

15 жовтня 2026 р. 09:25

15 жовтня 2026 р. 09:25

Компанія Microsoft спільно з Національним поліцейським агентством Японії викрила міжнародну мережу кіберзлочинців, яка з січня 2026 року розіслала понад мільярд фішингових повідомлень. Вони були спрямовані проти понад 75 тисяч організацій у більш ніж 150 країнах, а понад 750 мільйонів повідомлень націлювалися на клієнтів Microsoft. Компанія заблокувала понад 20 тисяч облікових записів і взяла під контроль понад 100 тисяч доменів, пов’язаних із шахрайською діяльністю.

Як повідомила Microsoft у блозі, розслідування допомогло виявити три складові злочинної інфраструктури: торговельний майданчик YAM Store та фішингові платформи CoGUI й Iron Man. Вони надавали зловмисникам викрадені або незаконно створені облікові записи Microsoft і Google, інструменти для створення підроблених сайтів і шаблони повідомлень, які імітували відомі компанії та державні установи.

За даними Microsoft, ця інфраструктура допомагала шахраям атакувати приватних осіб, медичні установи, фінансові організації та інші компанії. Зловмисники отримували від таких операцій десятки мільйонів доларів.

Як працювала злочинна мережа

Розслідування розпочалося наприкінці 2025 року, коли Національне поліцейське агентство Японії повідомило Microsoft про фішингові кампанії проти жителів країни. Спільна робота правоохоронців і фахівців із кібербезпеки привела до китайськомовного ринку кіберзлочинності, де можна було придбати готові інструменти для шахрайства.

YAM Store працював за принципом звичайного інтернет-магазину: клієнти могли переглядати пропозиції, порівнювати ціни та купувати облікові записи Microsoft і Google, а також інші інструменти для викрадення даних. Контрольні закупівлі, проведені фахівцями Microsoft, допомогли підтвердити механізм роботи майданчика.

Зловмисники також використовували домени, термін реєстрації яких закінчився, або відновлювали сайти організацій, які припинили діяльність. Це давало змогу створювати видимість легітимної роботи установ і шахрайським шляхом отримувати облікові записи Microsoft 365, які потім продавали через YAM Store.

Платформа CoGUI пропонувала готові вебсайти та шаблони повідомлень, що імітували відомі бренди, фінансові установи й державні органи. За їх допомогою шахраї могли швидко створювати сторінки для викрадення паролів, платіжних реквізитів та іншої конфіденційної інформації.

Згодом набув популярності сервіс Iron Man, який пропонував понад 2300 шаблонів для імітації різних організацій у більш ніж 150 країнах. Серед них були:

• банки;

• магазини;

• медичні установи;

• транспортні компанії;

• поліція;

• державні органи.

банки;

магазини;

медичні установи;

транспортні компанії;

поліція;

державні органи.

Шаблони давали змогу створювати електронні листи, SMS і вебсторінки, адаптовані до конкретних брендів, країн і мов. Частина повідомлень імітувала звернення державних установ, щоб змусити людей здійснити платіж або розкрити персональні дані.

Як ліквідовують інфраструктуру

До розслідування долучилися Японський центр боротьби з кіберзлочинністю (JC3), а також компанії Resecurity, Cloudflare, Oracle, Proofpoint і TRM Labs. У розслідуванні також використовували інструменти штучного інтелекту та обмінювалися інформацією із Секретною службою США й міжнародними правоохоронними органами. Вони допомогли пов’язати окремі випадки шахрайства та визначити масштаби мережі.

За рішенням Окружного суду США Південного округу Флориди Microsoft і некомерційна організація Health-ISAC отримали контроль над доменами, які забезпечували роботу YAM Store, CoGUI та Iron Man. З цього моменту Microsoft заблокувала понад 20 тисяч облікових записів, пов’язаних із YAM Store, і продовжує виводити з ладу інфраструктуру, яку використовували шахраї. Компанія також блокує понад 100 тисяч доменів, задіяних у фішингових атаках та видаванні себе за інші організації.

Нещодавно Microsoft також викрила кібершпигунську кампанію CaptiveCrunch російського угруповання Midnight Blizzard (Cozy Bear), спрямовану проти урядовців, дипломатів та IT-компаній у США та Європі. Зловмисники зламували легітимні Wi-Fi-мережі в готелях і конференц-центрах, змушуючи мандрівників під виглядом оновлень операційної системи встановлювати шкідливе програмне забезпечення, завдяки чому хакери викрадали корпоративні облікові дані Microsoft 365.

Технології