Microsoft 网络犯罪市场打击行动瞄准十亿条诈骗信息背后的供应商
Microsoft 针对网络犯罪市场的打击行动，瞄准了据称在 2026 年期间促成超过十亿条恶意信息传播的三项服务。该公司与 Health-ISAC 于 10 月 14 日对 YAM Store、CoGUI 和 Iron Man 采取行动。Microsoft 表示，这些相互关联的服务向在 150 多个国家开展活动的犯罪分子提供账户、基础设施和仿冒模板。
这项行动将常见的通行费、快递、银行和账户警告骗局重新定义为一条有组织供应链的产物。犯罪分子无需自行构建每一场攻击活动，而是可以购买云账户、选择逼真的模板，并部署本地化的钓鱼内容。Microsoft 表示，这些服务瞄准了超过 75,000 家组织，并为其运营者带来数千万美元收入。
此次行动也检验了 Microsoft 曾用于应对 RedVDS、Tycoon 2FA、RaccoonO365 及其他犯罪服务的策略。该公司正通过民事诉讼、平台管控、技术情报以及私营部门合作来打击供应商。更棘手的问题在于：当替代基础设施仍可轻易建立时，清除几家知名供应商是否能形成持久压力。
Microsoft 的网络犯罪市场打击行动波及三家关联供应商
10 月的行动针对的是一条生产链，而不仅仅是某个钓鱼网站或犯罪账户。
Microsoft 和 Health-ISAC 获得了美国佛罗里达南区联邦地区法院的授权。随后，两者查封或重定向了与 YAM Store、CoGUI 和 Iron Man 有关的域名。公开发布的法院案件通知将 Microsoft 和 Health-ISAC 列为原告，并将以 Yam Store 名义经营的 Yang Jian 列为被告之一。
诉状指称，被告通过所涉域名经营网络犯罪企业。Microsoft 表示，相关行为涉及欺骗、未经授权访问计算机系统，以及侵犯其知识产权。一项临时限制令授权采取措施，旨在于诉讼推进期间隔离并保全受影响的基础设施。
这一差异至关重要。民事干预可以在检察机关完成刑事案件前移除域名，并揭示运营关联。它还可以将流量重定向至调查人员控制的基础设施，从而可能创造识别受害者或绘制关联活动图谱的新机会。不过，诉状中提出的仍是尚待裁决的指控。
Microsoft 表示，已禁用超过 20,000 个与 YAM Store 相关的账户。该公司还称，已封锁超过 100,000 个用于仿冒和欺诈的域名。这些行动不止于关闭一个店面，因为它们针对的是据称由客户通过该市场购买的资源。
这三项被点名的服务在供应链中占据不同位置。YAM Store 据称出售通过欺诈方式获得的 Microsoft 和 Google 账户、域名、许可证及云环境。CoGUI 和 Iron Man 则提供钓鱼工具包，将用于窃取凭证或支付信息的模板与配套工具打包在一起。
调查人员还发现，Haozi（有时称为 Phoenix）是另一款通过 YAM Store 推销的钓鱼工具包。Microsoft 的法律与公开表述聚焦于 YAM Store、CoGUI 和 Iron Man，而其技术报告则将 Haozi 描述为更广泛网络的一部分。
Microsoft 将该钓鱼工具包集群归因为 Storm-2990，这是其对开发者及关联活动使用的追踪名称。该公司另将 YAM Store 追踪为 Storm-3119。追踪标签帮助调查人员关联行为，但并不意味着每个被观察到的客户或运营者都属于同一个正式组织。
据 Microsoft 称，自 2026 年 1 月以来，这些服务合计促成了超过十亿封钓鱼邮件和短信。其中超过 7.5 亿条瞄准 Microsoft 客户，而更广泛的活动触及了逾 75,000 家组织。消费者、医疗保健服务提供方、金融机构、零售商和公共机构均在预定目标之列。
这些数字来自 Microsoft 的遥测数据和合作伙伴调查。它们描述的是由这些服务促成的信息，而非十亿起已确认的入侵事件。在评估该市场的覆盖范围及其被移除后的即时影响时，这一区别至关重要。
“一站式诈骗”市场让仿冒更易规模化
YAM Store 及其关联钓鱼工具包据称将基础设施采购，与制作逼真诱饵的工作分离开来。
一场典型的钓鱼活动不只需要一条欺骗性信息。运营者还需要账户、域名、托管服务、发送能力、受害者名单、克隆网站，以及收集窃取信息的方法。每一项组成部分都会带来成本、延迟和被发现的风险。
服务经济改变了这一计算方式。专业供应商构建各个组件，并将其出售给其他犯罪分子。经验较少的买家因此可以在不自行开发每项能力的情况下拼装攻击活动。成熟团伙则可以扩大规模，同时专注于目标筛选、洗白收益或利用被盗访问权限。
YAM Store 据称充当初始访问经纪商，也就是说，它提供通过入侵或欺诈获取的账户和环境。Microsoft 表示，该市场提供按订阅类型、使用年限和组织类别等特征分类的 Microsoft 和 Google 资源。
部分产品据称利用了真实组织被遗弃的身份。运营者会搜索过期域名或不活跃的组织记录，尤其是在教育和非营利领域。随后，他们可以重建网站，并使用真实的历史细节使组织看起来仍在运营。
这种表象可能帮助犯罪分子以看似合法的身份获取云服务或账户。这类资源会比没有历史记录的新注册域名更具可信度。它们也可能通过自动化检查，因为这些检查通常会寻找一次性操作的明显迹象。
Microsoft 的技术调查描述了该市场背后的五阶段流程。报告称，运营者利用自动化侦察定位启用云服务的组织，并评估注册机会。随后，他们集中控制获取的环境，再为转售准备这些资源。
CoGUI、Haozi 和 Iron Man 则处理流程的另一环节。这些服务提供仿冒知名组织的现成页面和信息。买家无需从头设计每个网站，便可将攻击活动调整为适用于不同国家、行业和品牌的版本。
据 Microsoft 称，访问 Iron Man 的调查人员识别出超过 2,300 个模板。该集合据称涵盖银行、零售商、医疗保健服务提供方、交通管理机构、警察部门和政府机构，其地理覆盖范围延伸至 150 多个国家。
这套模板库解释了为何相同的犯罪基础设施今天可以支持未缴通行费信息，次日又可以发送快递未送达警告。买家只需选择相应的借口。供应商则承担了仿冒目标组织所需的大部分视觉设计和技术配置工作。
Iron Man 也说明了犯罪市场如何演变。Microsoft 表示，CoGUI 曾被广泛用于针对日本和美国的攻击活动。到 2026 年年中，客户正日益转向 Iron Man，后者于 6 月开始出现在 YAM Store 的广告中。
这一转变表明非法市场内部存在竞争和产品迭代。如果某个工具包变得不可靠、容易识别或容易被检测，客户就可以转向另一个。较新的产品也能够整合更多品牌、语言和投递方式。
据称，包括 USDT 和 Ethereum 在内的加密货币支付，帮助连接市场的供应商与客户，同时模糊传统金融追踪线索。加密货币并不能保证匿名性，但无需传统商户账户即可支持快速跨境支付。
最终形成的并非一台自动生成所有骗局的单一机器，而是一个模块化市场，参与者可以购买自己欠缺的组件。Microsoft 对钓鱼市场的干预旨在犯罪分子将模板和账户转化为成功盗窃之前，切断这些商业联系。
真正的较量是供给侧执法对阵快速替代
Microsoft 正押注于：对共享供应商施加持续压力，能比追踪每一条单独的信息打击更多攻击活动。
传统防御工作通常在恶意邮件送达后才开始。过滤器尝试将其拦截，用户进行举报，安全团队调查受影响的账户。这一过程仍然必要，但它是在攻击活动接触受害者的位置附近处理每一场活动。
供给侧执法则更进一步追溯至上游。该策略寻找许多互不关联的犯罪分子所依赖的服务。调查人员随后可以追查使多场攻击成为可能的市场、托管层、支付网络、域名或账户。
Microsoft 的数字犯罪部门十多年来一直采用这种方法。其公开的打击行动时间线包括针对僵尸网络、钓鱼服务、恶意软件分发者、欺诈账户卖家和基础设施提供商的行动。
该公司的地位赋予其不同寻常的可见性。Microsoft 运营着全球组织广泛使用的身份、电子邮件、云、终端和生产力服务。这些产品产生的信号可以揭示任何单一受害者都无法看到的关联。
对一家公司而言，一个可疑账户可能看似孤立。但相同的账户基础设施、钓鱼模板或管理模式可能出现在数千个租户中。Microsoft 可以在遵守其法律授权和访问控制的前提下比较这些信号，并关联跨攻击活动的行为。
Health-ISAC 则补充了来自医疗保健组织的信息，该行业经常成为凭证盗窃和支付欺诈的目标。行业信息共享组织可以关联最初看似无关的事件，也有助于将技术指标转化为成员可采取行动的预警。
据报道，此次调查始于影响日本个人和组织的诈骗活动。日本网络犯罪控制中心将多起独立事件与涉及企业和金融机构的更广泛模式联系起来。Microsoft 表示，该调查后来通过与日本警察厅及私营合作伙伴的协作而扩大。
据 Microsoft 称，Resecurity 协助调查人员访问和研究 Iron Man。Cloudflare、Oracle、Proofpoint 和 TRM Labs 则为行动的其他环节提供了可见性。各参与方观察不同层面，例如托管、信息传递、账户、域名或资金流。
这是执法模式的主要优势。一个市场通过连接专业分工者而成功，但这些连接也会形成可观察的依赖关系。双向信息共享能够揭示，一家供应商的账户如何为另一家的模板提供支持，以及由不同客户运营的活动之间存在何种关联。
然而，核心对手是快速替代。犯罪供应商可以注册新域名、将销售转移到即时通信应用、更改收款地址，或在别处重建托管设施。客户也可以在首选服务消失后转向竞争性工具包。
Microsoft 承认，YAM Store、CoGUI 和 Iron Man 只是更大犯罪经济的一部分。这项行动并未消除网络钓鱼这一商业模式。它试图通过清除可信供应商、迫使客户重建关系来增加阻力。
信任在非法市场中具有真实价值。买家无法依赖传统合同、退款或消费者保护。拥有已知销售渠道、经过验证的基础设施和成熟支持体系的供应商，可能很难被立即取代。
因此，即使干扰只是暂时的，也可能产生影响。客户可能失去对账户、域名、模板或已存储活动数据的访问权限。供应商必须重新建立分发渠道、证明自身身份，并说服买家替代服务并非由调查人员控制。
如果这种阻力持续存在，该行动将更具影响力。如果同一批卖家迅速以新名称回归，或竞争供应商毫无困难地吸收其客户，其影响则会较小。
为什么十亿条消息并不等于十亿名受害者
报告中的规模证明了其工业化覆盖能力，但并不能证明该行动同样造成了数量庞大的成功入侵。
Microsoft 表示，自 2026 年 1 月以来，这三项服务促成了超过十亿条恶意消息。该公司还表示，这些消息针对了超过 75,000 家组织，运营者从中获得了数千万美元收入。这些说法都很重大，但每项指标描述的是活动的不同环节。
一条已发送的消息只是一次接触尝试。它可能在送达前被拦截、被归入垃圾邮件、被收件人忽略，或虽被打开却未导致入侵。消息数量衡量的是活动投放能力，而非已确认的损害。
超过 7.5 亿条面向 Microsoft 客户的消息，反映了该公司对自身环境的可见性。这并不一定涵盖其他电子邮件服务或移动网络中的全部活动。反过来说，也不应将其理解为针对 Microsoft 账户的 7.5 亿次成功攻击。
受攻击组织的数量同样需要谨慎解读。一家组织可能在众多员工、域名或活动中收到大量消息。不同客户重复使用热门模板时，同一受害者也可能被反复计入。
财务方面的说法带来了另一项挑战。Microsoft 表示，这些服务为其运营者创造了数千万美元收入。公告发布时可获得的公开材料，并未提供关于市场收入、客户付款及受害者损失的完整账目。
这些限制都不意味着该行动不重要。它们界定了哪些事项仍未得到验证。证据支持这样一个结论：这些服务在多个国家以高规模运行。但它并不支持将每一条消息都视为一次成功盗窃。
法律程序可能会澄清更多细节。被告可以对相关指控提出抗辩，证据开示也可能披露有关所有权、收入、客户和基础设施的记录。目前公开可得的文件确认，Microsoft 和 Health-ISAC 已提起诉讼并获得临时救济。
另一项不确定性涉及归因。Microsoft 以高度信心评估，讲中文的威胁行为者开发了这些钓鱼工具包。该评估基于语言、基础设施、销售渠道、代码相似性和重叠活动。
语言或技术评估并不能自动证明国籍、实际所在地或政府参与。Microsoft 的报告描述的是一个中文犯罪生态系统，而非国家支持的行动。混淆这两类情况会夸大现有证据所能支持的结论。
该市场的模块化结构带来了进一步的归因难题。据称，YAM Store 向多个下游运营者提供资源。钓鱼工具包开发者、基础设施经纪人、活动运营者和洗钱者，都可能参与同一场欺诈，却不属于同一团伙。
这种分离对犯罪分子具有商业价值，因为它限制了每个参与者需要了解的信息范围。但它也让执法更加复杂。移除一家供应商可以中断行动，却未必能识别出所有发送消息或接收赃款的人。
被查封基础设施的防御价值同样尚不明确。根据法院命令和技术配置，被重定向的域名可以帮助调查人员观察连接尝试，或向受害者发出提醒。Microsoft 尚未公开所有运营细节；在一项仍在进行的调查中，这种做法是合理的。
因此，组织不应将这一公告解读为风险已经解除。即使原始销售门户消失，钓鱼模板仍可继续使用。此前售出的账户和域名也可能继续存在，除非服务提供商将其识别并停用。
更恰当的理解是，这项行动是对供应端进行的可衡量干预，而非对该网络规模或终结的最终判断。鉴于 Microsoft 的遥测能力和直接参与，其主张值得重视。但它们仍应像任何利益相关方的报告一样，接受同样谨慎的区分与审视。
通行费通知和配送提醒揭示了市场的覆盖范围
这一市场中最有效的产品，会将日常惯例转化为可重复利用的凭据和支付信息窃取机会。
未缴通行费消息会围绕一项金额不大、却看似可信的义务制造紧迫感。错过配送的通知则利用了人们经常收取包裹的预期。两种提示都会鼓励收件人在核实发件人真实性之前采取行动。
底层页面可能要求输入银行卡号、账户密码、安全代码或个人信息。随后，活动运营者可以将窃取的数据用于接管账户、进行欺诈性购买或进一步冒充他人。
商业电子邮件入侵遵循类似模式，只是风险更高。攻击者获取收件箱访问权限，或令人信服地冒充可信对象。攻击者会研究现有对话，并在真实发票或转账即将发生时插入欺诈性付款指示。
市场降低了创建这类欺骗所需的工作量。模板提供熟悉的标志、表单和页面布局。通过欺诈手段获得的云账户，可以使消息看起来更接近合法服务。本地化域名和基础设施则可能削弱简单的基于位置筛查。
医疗保健组织面临尤其大的压力，因为它们依赖电子邮件、供应商、支付流程和对时效敏感的沟通。在临床或行政工作中，紧急请求可能随时出现，而延误本身也会带来代价。Health-ISAC 的参与反映了这种风险暴露。
金融机构、零售商、学校、非营利组织和交通机构，各自具备不同组合的知名品牌与高频互动场景。犯罪分子能够冒充它们，是因为收件人本就预期会收到密码重置、物流更新、费用通知、预约提醒或付款请求。
Iron Man 报告中的模板数量表明，一套工具包可以服务于众多场景。超过 2,300 个模板可让客户轮换品牌，或进入另一个国家，而无需重建其活动架构。
自动化进一步提升了这种灵活性。据称，YAM Store 使用自动化侦察来定位过期身份并评估云环境。网络钓鱼运营者也可以类似地使用自动化工具分发内容、整理收件人列表，并测试哪些诱饵能够获得回应。
防御者无法仅靠教导用户识别糟糕语法或奇怪页面设计来解决问题。现成工具包可以高度还原品牌外观，而被攻陷的账户也可能使消息来自具有合法历史的基础设施。
用户仍应检查意外请求，但组织需要建立假设某些消息会得逞的控制措施。美国联邦贸易委员会的网络钓鱼指南建议，通过已知网站或电话号码联系相关组织，而不要使用意外消息中的链接。
对于企业付款，验证应通过独立且可信的渠道进行。在同一条已被攻陷的电子邮件线程中回复，并不能提供独立确认。银行信息、付款去向或审批流程的变更，都值得进行额外审查。
多因素认证仍然很有价值，尽管部分钓鱼工具包试图窃取会话令牌，或实时代理认证流程。组织还需要条件访问规则、可疑登录检测、域名监控，以及快速撤销已被攻陷会话的方法。
技术团队可以利用调查中的情报，搜索相关域名、账户行为和基础设施模式。然而，指标会迅速失效。仅靠域名封锁列表无法应对一个旨在不断产生替代品的市场。
采购和身份团队也应发挥作用。过期域名、废弃租户和未使用的云订阅，可能保留真实组织身份的片段。维持对重要域名的控制，并正式关闭未使用环境，可以减少被冒充的机会。
知识工作者应将这一公告视为诈骗质量正在趋于标准化的证据。令人信服的设计不再是合法性的有力证明。更安全的问题是：该请求是否与通过收件人已信任的记录和渠道验证过的交易相符。
三个信号将显示这种压力能否持续
只有当 Microsoft 对网络犯罪市场的打击，使运营成本在首批被查封域名和被禁用账户之后仍持续上升时，这项行动才算成功。
第一个信号是，YAM Store、CoGUI 和 Iron Man 是否会以新域名或销售身份重新出现。快速且可信的重启，将削弱该行动造成持久阻力的说法。若它们以分散形式回归，并出现客户纠纷和冒充者账户，则表明供应商失去了信任。
调查人员和安全服务提供商应关注代码、管理面板、加密货币地址、账户开通方法和模板库是否存在连续性。品牌可以在一夜之间改变，但运营习惯往往会延续。这些关联能够揭示，继任者究竟是真正的新实体，还是仅仅改头换面。
第二个信号是受影响基础设施周边的活动水平。Microsoft 报告称，已禁用超过 20,000 个相关账户，并封锁了超过 100,000 个冒充域名。若相关消息、账户滥用和克隆页面持续下降，将增强该公司供应端策略的可信度。
短暂下降后再度迁移，则会说明不同的问题。这意味着该行动清除了可见基础设施，却没有实质性降低客户需求或替代能力。衡量这一结果，需要电子邮件服务提供商、托管公司、注册商和受攻击行业持续发布报告。
第三个信号是，此次调查是否会带来进一步的法律行动或可归因的后果。域名查封可以中断服务，但逮捕、资产冻结、制裁或判决能够对运营者施加更强压力。它们也可能阻止基础设施提供商将滥用投诉视为普通的经营成本。
跨境合作将决定这一过程能够延伸多远。此次调查涉及日本执法机构和组织、美国的一起民事案件、国际技术提供商，以及一个全球医疗行业网络。每个参与方都只掌握部分证据或执法权限。
Health-ISAC 的威胁情报共享网络也为识别针对医疗成员的新攻击活动提供了渠道。如果新的事件暴露出相同工具，这些信息可以帮助合作伙伴更快调整拦截措施，并追踪替代基础设施。
Microsoft 的双重角色将受到审视。它既是服务据称遭到滥用的受害者，也是销售防御产品的安全服务提供商、拥有大量遥测数据的调查方，以及寻求法院命令的民事原告。围绕证据、方法论和可衡量结果的透明度，将帮助其他人评估其主张。
更广泛的考验并不止于 Microsoft。据称，Google 账户是 YAM Store 销售的产品之一，而许多被仿冒的品牌来自银行、零售商、政府机构和交通服务提供商。要形成持久压力，这些组织需要在不暴露敏感客户信息的前提下共享信号。
没有任何一家公司能够消除对被盗账户或钓鱼工具包的需求。但它可以让某个供应商变得不那么可靠，缩短恶意基础设施的存续时间，并揭示可被其他防御者拦截的模式。
对组织而言，实际的下一步是审视支付验证、域名管理、身份监控和事件报告是否仍假定诈骗只是孤立的尝试。证据表明，这些活动正趋向于由专业供应商支撑的可复制服务。安全控制应围绕这些共享依赖关系展开，而不仅仅关注员工收件箱中的最终消息。
未来一到三个月，应关注继任店铺的出现、相关攻击活动规模是否出现可衡量的变化，以及更多法院或执法行动。这些信号将表明，Microsoft 对钓鱼市场的打击是否损害了一个商业网络，还是仅仅中断了其最新品牌。
