Microsoft и японската полиция спряха 1 млрд. SMS измами

На 14 октомври Microsoft обяви, че заедно със здравния сектор и японските власти е разбила три платформи, които захранваха едно от най-големите фишинг производства в света. По съдебно разпореждане са иззети и пренасочени домейните на YAM Store, CoGUI и Iron Man — услуги, през които от януари 2026 г. са минали над 1 милиард измамни имейла и SMS-а към повече от 75 000 организации в над 150 страни.

Искът е подаден от Отдела за цифрови престъпления (Digital Crimes Unit) на Microsoft и от Health-ISAC — организацията за обмен на информация в здравния сектор. Разпореждането е издадено от Окръжния съд на САЩ за Южния окръг на Флорида, обяснява Стивън Масада, помощник главен юрист в DCU, в официалния блог на Microsoft.

Всичко започва със сигнал от Токио

Разследването тръгва в края на 2025 г., когато Националната полицейска агенция на Япония (NPA) предупреждава Microsoft за вълна от измамни съобщения към хора в Япония. Японският център за контрол на киберпрестъпността (JC3) после сглобява картината: през мрежата си от над 130 организации-членове центърът свързва отделни, на пръв поглед несвързани инциденти и показва, че зад тях стои една и съща инфраструктура, насочена срещу японски компании и финансови институции.

Първите кампании имитират познати на японския потребител марки — MyJCB, Rakuten, Orico, както и Amazon, PayPay и Apple. Оттам схемата се разраства до транспорт, държавни агенции, болници, пощи, данъчни служби, телекоми и програми за лоялност.

Трите части на конвейера

Според разбора на Microsoft Security трите услуги вършат различна работа в един и същ конвейер:

• YAM Store е подземен магазин, който продава фалшиви или откраднати акаунти в облаците на Microsoft и Google плюс инструменти за кражба на идентификационни данни. Microsoft следи операторите му като Storm-3119.
• CoGUI (среща се и като NX или FA) доставя готови фишинг сайтове и съобщения, които се представят за легитимни организации. Активен е поне от октомври 2024 г.
• Iron Man System е наследникът, пуснат през юни 2026 г. — с над 2 335 шаблона за 139 страни. Разработчиците са проследявани като Storm-2990 и са китайскоговорящи.

Снимка: Microsoft Security Blog

Техническата част е направена за дълго оцеляване. Страниците използват geofencing, за да се показват само на посетители от целевата държава, фалшиви CAPTCHA екрани, бели и черни списъци с IP адреси и конфигурации против автоматично сканиране. Събраните пароли тръгват по WebSocket и падат в реално време в Telegram ботове. Има и злоупотреба с device code потока за вход — атака, която заобикаля част от защитите при двуфакторната автентикация. Инфраструктурата е основно на китайски хостинг доставчици, а плащанията минават през USDT и Ethereum, но също и през Alipay и WeChat Pay, с отделен слой под-прекупвачи.

Какво падна на практика

Освен иззетите домейни, Microsoft е деактивирала над 20 000 акаунта, свързани с YAM Store, премахнала е инфраструктура, хоствана в собствените ѝ услуги, и е блокирала над 100 000 домейна, използвани за имитация и измами. Само срещу клиенти на Microsoft са били насочени над 750 милиона от общия един милиард съобщения. Операторите са изкарали „десетки милиони долари“, без да се посочва точна сума.

Около действието е събрана широка коалиция: освен NPA и JC3, в нея влизат Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs и Тайните служби на САЩ. The Record отбелязва, че става дума за трите най-големи китайскоезични услуги от този тип, а The Hacker News добавя в сметката и четвърти комплект — Haozi (известен и като Phoenix), който е работил редом с CoGUI.

Защо има значение и за вас

Фишингът като услуга свали прага за влизане почти до нула: купувачът не пише код, а наема шаблон, домейн и акаунт, от който да изпраща. Затова и подобни операции не изкореняват проблема — те вдигат цената му. Същото важеше и за по-ранните удари по инфраструктура, като разбитите „лаптоп ферми“ на Северна Корея в Тексас: инфраструктурата се възстановява, но не безплатно и не веднага.

Практическият извод е скучен, но работи. Съобщенията от този конвейер идват като SMS за неплатена пратка, глоба, данък или блокирана карта и водят към страница, която изглежда точно като оригинала. Не отваряйте линк от такова съобщение — влизайте в сайта или приложението ръчно. Използвайте passkey или хардуерен ключ, където е възможно, защото кодовете по SMS и push потвържденията са точно това, което тези шаблони ловят.

Заключение

Един милиард съобщения за девет месеца показват колко индустриализиран е станал фишингът — и колко малко хора стоят зад него. Иззетите домейни и 20 000 изключени акаунта са реален удар, но следващият вариант на Iron Man вероятно вече се пише. Най-полезното в тази операция е друго: японската полиция е подала сигнала, а частните компании са имали правните инструменти да действат бързо. Този модел на сътрудничество е по-ценен от конкретния списък домейни.