Le 14 octobre 2026, Microsoft a annoncé le démantèlement de trois services clés d’un vaste marché cybercriminel en langue chinoise : YAM Store, CoGUI et Iron Man. Depuis janvier dernier, ces trois plateformes ont permis l’envoi de plus d’un milliard de messages malveillants, visant plus de 75 000 organisations dans le monde.
That suspicious message may be just the tip of the iceberg.
Microsoft and @HealthISAC are disrupting YAM Store, CoGUI, and Iron Man, cybercrime services that enabled 1B+ malicious messages targeting 75K+ organizations worldwide.
Read more: https://t.co/gzporVuUjZ https://t.co/0NPkJ7syAR
— Microsoft On the Issues (@MSFTIssues) October 14, 2026
Plus de 750 millions de ces messages ciblaient des clients de Microsoft. Les campagnes ont touché des particuliers, des hôpitaux, des banques et des entreprises dans plus de 150 pays. Les opérations criminelles, reposant sur de faux messages évoquant des Colis bloqué, un péage impayé, un compte bancaire suspendu, ou des impôts en retard, ont rapporté « des dizaines de millions de dollars », selon Microsoft.
Un grand supermarché du phishing
Le supermarché criminel s’est retrouvé dans le viseur de Microsoft à la fin de l’année dernière. En décembre, la police nationale japonaise a alerté Microsoft d’une vague de messages frauduleux au Japon. Les enquêteurs sont rapidement tombés sur un écosystème criminel tentaculaire, au sein duquel les pirates pouvaient acheter tout ce dont ils avaient besoin pour monter une arnaque de A à Z.
Au cœur de ce système criminel, on trouvait YAM Store. La plateforme fonctionnait comme une boutique en ligne tout à fait classique. Les clients pouvaient parcourir les produits, comparer les prix et y acheter des comptes Microsoft et Google frauduleux. Des outils prêts à l’emploi, taillés pour voler des identifiants, étaient également commercialisés. Des sites de phishing crédibles, clés en mains, étaient aussi mis en vente.
Comme le révèle Microsoft, les cybercriminels avaient pris l’habitude de racheter les noms de domaine abandonnés par des organisations légitimes, comme des associations ou des établissements scolaires. Sur base du nom de domaine, ils reconstruisaient ensuite les sites eux-mêmes. L’opération devait faire croire à Microsoft que les entités visées étaient toujours actives. Ils réclamaient ensuite des comptes Microsoft 365 à l’éditeur en usurpant l’identité de l’organisation. Les comptes étaient ensuite revendus sur YAM Store. Des escrocs pouvaient alors s’en servir pour envoyer en masse des mails piégés capables de contourner les filtres anti-spam.
« La place de marché YAM Store offre aux cybercriminels une plateforme pour acheter des domaines Microsoft et Google obtenus frauduleusement, associés à des organisations légitimes, expirées ou ayant déjà existé », détaille Microsoft Threat Intelligence dans un rapport.
À lire aussi : Revolut : après la fuite de données, une arnaque redoutable vise les clients
Des milliers de faux messages prêts à l’emploi
Les deux autres services démantelés proposaient d’autres outils clés très appréciés par les cybercriminels. La plateforme CoGUI proposait des sites et des messages déjà écrits, imitant des banques ou des administrations. Les messages proposés par CoGUI ont notamment permis à des pirates de se faire passer pour Amazon ou Apple.
« Au lieu de créer eux-mêmes des sites frauduleux, les criminels pouvaient déployer rapidement des pages conçues pour dérober des mots de passe, des informations de paiement et d’autres données personnelles », explique Microsoft.
Il y a quelques mois, CoGUI a peu à peu été remplacé par Iron Man, un service encore plus complet. Les enquêteurs y ont trouvé plus de 2 300 modèles de pages et de messages piégés, usurpant l’identité des banques, des enseignes, des hôpitaux, des transporteurs, des services postaux, des forces de police ou des administrations de plus de 150 pays. Sans surprise, les outils étaient revendus contre des cryptomonnaies, notamment de l’USDT, et de l’Ether.
À lire aussi : Asos piraté : des hackers envoient une mystérieuse notification à des milliers clients
Microsoft s’attaque aux fournisseurs
Alerté par le Japon, Microsoft a mené l’enquête avec l’appui des autorités nippones. Plusieurs entreprises de cybersécurité, dont Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs, ont participé aux investigations. Celles-ci ont abouti à l’opération de démantèlement du 14 octobre. Ce jour-là, Microsoft a obtenu l’accord d’un tribunal américain pour saisir tous les noms de domaine à l’origine des trois plateformes. Le groupe de Redmond a aussi désactivé plus de 20 000 comptes frauduleux liés à YAM Store et bloqué plus de 100 000 domaines factices.
Microsoft précise qu’il est plus efficace de s’en prendre à ces imposants « fournisseurs » du phishing que de tenter de court-circuiter chaque campagne malveillante. En privant les escrocs de leurs comptes, de leurs outils et de leur infrastructure, une seule opération bien ficelée peut neutraliser des centaines de cyberattaques d’un seul coup.
« La disruption va probablement impacter l’efficacité et le succès de ces kits de phishing, causant potentiellement des frictions opérationnelles, réputationnelles et financières pour les acteurs de la menace », nous explique Proofpoint, qui a participé à l’opération avec Microsoft.
Microsoft a remporté une victoire de taille, mais il n’a pas encore gagné la guerre. De l’aveu de l’entreprise, YAM Store, CoGUI et Iron Man « ne sont qu’une partie d’un réseau criminel plus vaste ». Les pirates n’ont d’ailleurs pas été identifiés au cours de l’enquête. Rien n’empêche ceux-ci de revenir en force avec d’autres tactiques criminelles dans un avenir proche.
Ce n’est pas le premier géant de l’industrie criminelle que Microsoft neutralise cette année. En janvier, le groupe a démantelé RedVDS, un service d’abonnement qui louait, pour une vingtaine d’euros par mois, des PC virtuels taillés pour le phishing et la fraude. La plateforme a causé plus de 40 millions de dollars de pertes rien qu’aux États-Unis. En mars, Microsoft a ensuite aidé Europol à mettre hors ligne Tycoon2FA, un kit de phishing capable de casser la double authentification. En mai, c’était au tour de Fox Tempest, une plateforme qui détournait un service cloud de Microsoft pour signer numériquement des logiciels malveillants, de fermer ses portes.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
