Microsoft lukker tre store phishingplatforme

Microsoft har gennem en koordineret indsats med japanske myndigheder og internationale cybersikkerhedspartnere slået ned på tre omfattende phishingplatforme, der ifølge selskabet har spillet en central rolle i globale svindelkampagner.

Det skriver The Record.

Ved hjælp af en amerikansk retskendelse har Microsoft beslaglagt og omdirigeret domæner forbundet med platformene YAM Store, CoGUI og Iron Man. De tre tjenester skal alene siden januar have muliggjort udsendelsen af mere end 750 millioner phishingbeskeder rettet mod Microsoft-kunder.

Målene omfattede både private brugere, sundhedssektoren, finansielle institutioner og virksomheder i mere end 150 lande. Formålet var typisk at stjæle legitimationsoplysninger, persondata og finansielle oplysninger.

Phishing som abonnementsforretning

En af de mest omfattende tjenester var Iron Man, der fungerede som en phishing-kit-as-a-service-platform. Her kunne kriminelle abonnere på færdige værktøjer og skabeloner, der efterlignede legitim kommunikation fra blandt andet posttjenester, skattemyndigheder, banker og teleselskaber.

Ifølge Microsoft omfattede platformen mere end 2.300 færdigbyggede lokkesider, som kunne tilpasses forskellige lande og organisationer. Det gjorde det muligt hurtigt at gennemføre kampagner målrettet specifikke regioner og brancher.

CoGUI tilbød tilsvarende tjenester med fokus på falske hjemmesider og beskeder, der kunne udgive sig for at komme fra kendte virksomheder, myndigheder eller finansielle institutioner. Platformen blev især anvendt i kampagner rettet mod japanske borgere, før mange aktører tilsyneladende skiftede til Iron Man i løbet af 2026.

YAM Store solgte infrastrukturen

Efterforskningen førte også til YAM Store, som fungerede som markedsplads for den underliggende infrastruktur, der gjorde phishingkampagnerne mulige.

Platformen tilbød kompromitterede eller svigagtigt oprettede konti hos blandt andet Microsoft og Google. Kriminelle kunne købe adgang til konti baseret på alder, abonnementstype eller organisationskategori, eksempelvis uddannelses- eller nonprofitmiljøer.

Microsoft beskriver YAM Store som en slags katalog over digitale ressourcer, hvor svindlere kunne finde den billigste og mest troværdige infrastruktur til deres angreb. Platformen gjorde det også muligt at købe domæner med relation til legitime eller udløbne organisationsnavne.

I flere tilfælde opkøbte kriminelle domæner, som virksomheder havde ladet udløbe, hvorefter de genopbyggede hjemmesiderne for at fremstå legitime. Disse blev blandt andet brugt til at indsamle Microsoft 365-legitimationsoplysninger, som efterfølgende kunne videresælges.

Japansk spor blev begyndelsen

Ifølge Microsoft begyndte efterforskningen sidste år, efter at Japans nationale politi gjorde opmærksom på omfattende beskedkampagner rettet mod japanske borgere.

Sporingen af kampagnerne afslørede forbindelser til et kinesisksproget cyberkriminelt økosystem med tætte relationer mellem YAM Store, CoGUI og Iron Man. Microsoft peger på fælles tekniske karakteristika og ligheder i infrastrukturen som tegn på et tæt samarbejde mellem udviklerne bag tjenesterne.

Som led i indsatsen har Microsoft desuden lukket mere end 20.000 konti knyttet til YAM Store samt blokeret over 100.000 domæner anvendt til efterligning af legitime organisationer.

Selskabet oplyser samtidig, at arbejdet med at identificere og fjerne yderligere infrastruktur fortsætter i samarbejde med internationale retshåndhævende myndigheder og cybersikkerhedsvirksomheden Resecurity.