Microsoft et la police japonaise démantèlent une usine à phishing mondiale

Le 14 octobre 2026, Microsoft a publié le bilan d’une enquête menée avec la National Police Agency japonaise, rapportée par Bleeping Computer. Le point de départ était une vague de fraudes. Le point d’arrivée est une place de marché cybercriminelle en langue chinoise, que Microsoft suit sous le nom de YAM Store (Storm-3119). Elle ne vendait pas des messages de phishing, mais ce qu’il faut pour en envoyer : des environnements Microsoft et Google compromis ou obtenus frauduleusement, des comptes, des licences et de l’espace de stockage.

Une boutique d’infrastructure et trois kits

YAM Store a été reliée à trois kits de phishing, CoGUI, Haozi et Iron Man System, regroupés sous l’identifiant Storm-2990. CoGUI visait d’abord les États-Unis et le Japon. Proofpoint avait déjà repéré fin 2024 des campagnes d’e-mails liées à ce kit et dirigées contre le Japon, qui usurpaient des entreprises japonaises connues ou des organisations internationales pour voler identifiants et données de paiement. Plus de 17 000 domaines ont servi à CoGUI et à deux kits voisins, CoAceV et CoFish_Ws.

À la mi-2026, Iron Man a pris le dessus. Il propose plus de 2 300 gabarits imitant banques, commerçants, transporteurs et administrations. Resecurity, qui a participé à l’enquête, a analysé une infrastructure exposée publiquement : un registre Git et conteneurs comptant 911 versions publiées et huit comptes enregistrés, ainsi qu’un sous-système de sélection de produits lié à la capture de cartes bancaires, qui recense 2 360 paquets de phishing couvrant 130 pays ou territoires, mis à jour jusqu’au 1er octobre 2026.

Des comptes cloud obtenus sous de fausses identités

Pour se procurer des comptes cloud en règle, les opérateurs rachetaient des domaines expirés d’organisations réelles, reconstruisaient leurs sites pour faire passer des entités disparues pour actives, puis ouvraient des comptes à leur nom. L’autre méthode consistait à fabriquer de toutes pièces de fausses organisations, contenu et documentation compris, à l’aide d’outils d’IA.

Dans les environnements Microsoft compromis, les opérateurs se servaient d’identifiants d’applications volés pour gérer comptes et licences, et détournaient SharePoint et OneDrive pour héberger leurs pages. Depuis le début de l’année, plus de 750 millions de messages ont visé des clients Microsoft 365, par e-mail et par SMS, dont beaucoup par phishing de code d’appareil, une technique qui récupère des jetons d’authentification. À l’échelle de tout l’écosystème, le bilan dépasse le milliard de messages, 75 000 organisations et 150 pays.

Péages impayés et faux CAPTCHA

Les appâts sont ceux que vous connaissez : péage impayé, amende routière, problème de livraison, vérification de compte. Les kits intègrent du géorepérage, de faux CAPTCHA et du filtrage par adresse IP, de quoi compliquer le travail des équipes qui tentent d’analyser les pages piégées.

Ce qui a été coupé

Sur ordonnance du tribunal fédéral du district sud de Floride, Microsoft et Health-ISAC ont saisi et redirigé les domaines qui soutenaient YAM Store, CoGUI et Iron Man. Microsoft a aussi désactivé plus de 20 000 comptes liés à YAM Store et bloqué 100 000 domaines utilisés pour l’usurpation et la fraude. D’autres éléments d’infrastructure sont en cours de retrait, avec les autorités japonaises, JC3, Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs.

Pour vos SMS, le changement est réel mais partiel. Un fournisseur majeur d’infrastructure et de gabarits est à terre, pas le modèle économique : ces kits étaient vendus pour être redéployés par d’autres, et un catalogue mis à jour le 1er octobre 2026 ne se démode pas en deux semaines.

Le prochain message de péage impayé ne sortira peut-être plus de cette boutique. Rien n’indique qu’elle était la seule enseigne du quartier.