Фишинг на миллиард: Microsoft вскрыла подпольный магазин киберпреступников

В конце прошлого года Microsoft начала расследовать кампанию фишинга — мошеннических сообщений, которые выманивают у людей пароли и другие данные. Сначала это выглядело как очередная рассылка. Но за ней обнаружился крупный китайскоязычный подпольный рынок, где киберпреступники покупали и продавали учётные записи, услуги веб-хостинга и инструменты для поддельных сайтов и фальшивых личностей.

Microsoft сообщила, что возглавила операцию по ликвидации этой инфраструктуры вместе с компаниями по кибербезопасности, включая Proofpoint, и правоохранительными органами Японии. Расследование началось после того, как Национальное полицейское агентство Японии (NPA) предупредило Microsoft о волне мошенничества, нацеленной на жителей и компании страны.

Следователи обнаружили подпольный маркетплейс YAM Store. Там продавались мошеннические аккаунты Microsoft и Google, а также готовые средства для обмана, в том числе для кражи учётных данных. Особое внимание привлекли два продукта — CoGUI и Iron Man. По оценке исследователей, CoGUI представлял собой платформу для создания сайтов, а Iron Man — галерею шаблонов.

CoGUI позволял преступникам быстро запускать сайты и рассылки, выдававшие себя за компании, банки, государственные ведомства и другие организации, которым обычно доверяют. Вместо самостоятельной разработки поддельной страницы покупатель мог развернуть готовую, чтобы красть пароли, платёжные сведения и другие персональные данные. По данным Microsoft, CoGUI широко применяли против пользователей в Японии и США.

К середине 2026 года его постепенно вытеснял Iron Man. Этот инструмент предлагал тысячи готовых шаблонов для подражания известным организациям и помогал быстро создавать письма, текстовые сообщения и веб-страницы под конкретные бренды, отрасли и страны. Microsoft обнаружила более 2300 шаблонов, имитировавших банки, магазины, медицинские организации, полицейские ведомства и другие структуры более чем в 150 странах.

Масштаб рынка оказался внушительным: только в этом году связанные с ним сервисы помогли направить более миллиарда фишинговых сообщений против 75 тысяч организаций по всему миру. Клиенты Microsoft получили свыше 750 миллионов таких сообщений с начала года. По оценке компании, операторы заработали на атаках десятки миллионов долларов.

Для ликвидации инфраструктуры Microsoft и Health-ISAC — международная некоммерческая организация, помогающая медицинским учреждениям обмениваться сведениями о киберугрозах, — получили судебное распоряжение Окружного суда США по Южному округу Флориды. Они изъяли домены, связанные с YAM Store, CoGUI и Iron Man, и перенаправили их. Microsoft также отключила более 20 тысяч связанных с магазином аккаунтов и продолжает удалять инфраструктуру, размещённую на её сервисах. По данным компании, операция уже заблокировала более 100 тысяч доменов, использовавшихся для подмены организаций и мошенничества.

Microsoft отмечает, что расследование, начавшееся с атак на людей и компании в Японии, вывело следователей на подпольную экономику, обслуживавшую преступников по всему миру. YAM Store, CoGUI и Iron Man составляли лишь часть более широкой сети, но их отключение затрудняет доступ злоумышленников к аккаунтам, инструментам и инфраструктуре.

При этом авторы материала указывают: если не последуют аресты, рынок может возникнуть снова. В качестве примера они приводят ликвидацию в начале 2025 года платформ Cracked и Nulled — форумов с нелегальными товарами и услугами «киберпреступность как сервис». У них было более 10 миллионов пользователей. Тогда правоохранители арестовали двух подозреваемых, изъяли 17 серверов и более 50 электронных устройств. По оценкам следствия, подозреваемые получили свыше миллиона долларов преступного дохода.