14 października 2026 roku Jednostka ds. Przestępczości Cyfrowej Microsoftu (Digital Crimes Unit) wspólnie z organizacją Health-ISAC przejęła i przekierowała domeny stojące za trzema powiązanymi ze sobą serwisami przestępczymi: YAM Store, CoGUI i Iron Man.
Liczby robią wrażenie. Od stycznia 2026 roku te trzy serwisy umożliwiły wysłanie ponad miliarda złośliwych wiadomości wymierzonych w ponad 75 000 organizacji na całym świecie, w tym ponad 750 milionów skierowanych do samych klientów Microsoftu. Firma wyłączyła ponad 20 000 kont powiązanych z YAM Store i blokuje ponad 100 000 domen wykorzystywanych do podszywania się i oszustw.
To, co czyni tę sprawę wartą analizy, to nie skala, lecz struktura. Żaden z tych trzech serwisów nie prowadził kampanii phishingowych. One je zaopatrywały — jeden dostarczał konta, drugi strony-przynęty, trzeci infrastrukturę. To była akcja wymierzona w łańcuch dostaw, a nie w konkretnego napastnika.
Co się wydarzyło
Podstawa prawna
Microsoft i Health-ISAC uzyskali postanowienie Sądu Okręgowego USA dla Południowego Okręgu Florydy, upoważniające ich do przejęcia i przekierowania domen stanowiących zaplecze wszystkich trzech serwisów. Doniesienia opisują je jako tymczasowe postanowienie zabezpieczające (temporary restraining order).
To postępowanie cywilne, a nie karne. Nikogo nie zatrzymano. Takie podejście — wykorzystanie sądowego przejęcia domen, by odebrać przestępcom infrastrukturę, zamiast czekać na ich identyfikację i ekstradycję — stało się standardową metodą DCU i działa właśnie dlatego, że operatorzy zwykle pozostają poza zasięgiem organów ścigania.
Dlaczego organizacja z sektora ochrony zdrowia? Health-ISAC to globalna organizacja non-profit, która pomaga podmiotom medycznym wymieniać się informacjami o zagrożeniach i budować odporność operacyjną. Jej rola jako współpowoda odzwierciedla zarówno to, jak mocno sektor ochrony zdrowia jest celem phishingu, jak i praktyczną wartość udziału organizacji branżowej w postępowaniu.
W śledztwo zaangażowały się także japońska Narodowa Agencja Policji oraz Japan Cybercrime Control Center (JC3), przy wsparciu firm TRM Labs, Proofpoint i Resecurity.
Trzy serwisy
Microsoft śledzi YAM Store pod oznaczeniem Storm-3119, a powiązane zestawy phishingowe — CoGUI, Haozi (znany też jako Phoenix) oraz Iron Man System — zbiorczo jako Storm-2990.
Serwis | Co sprzedawał |
|---|---|
YAM Store | Giełda przejętych lub pozyskanych w sposób oszukańczy kont Microsoft i Google, licencji, przestrzeni dyskowej, środowisk chmurowych i domen |
CoGUI | Zestaw phishingowy: gotowe fałszywe strony i wiadomości podszywające się pod firmy, banki i instytucje publiczne |
Iron Man | Phishing jako usługa z ponad 2300 gotowymi stronami-przynętami, sprzedawany w modelu subskrypcyjnym |
Śledczy wykryli podobieństwa w infrastrukturze wszystkich trzech serwisów, co wskazuje na ścisłą współpracę ich twórców albo wspólne pochodzenie kodu.
Przejęcie rynku: od CoGUI do Iron Mana
CoGUI ma udokumentowaną historię. Proofpoint zidentyfikował go pod koniec 2024 roku, gdy prowadził kampanie mailowe konsekwentnie wymierzone w Japonię. Microsoft podaje, że był intensywnie wykorzystywany przeciwko ofiarom w Japonii i Stanach Zjednoczonych. Dalsze śledztwo ujawniło ponad 17 000 domen używanych przez trzy powiązane zestawy — CoGUI, CoAceV i CoFish_Ws.
Potem rynek się przesunął. Iron Man zaczął pojawiać się w ofercie YAM Store w czerwcu 2026 roku, a do połowy roku przestępcy zaczęli wybierać go zamiast CoGUI. Szablony Iron Mana podszywają się pod firmy pocztowe, urzędy wystawiające mandaty, urzędy skarbowe, banki, sieci handlowe, firmy kurierskie i telekomy — dostosowane do Australii, Japonii, Indii i kilkudziesięciu innych krajów.
To przejście jest najbardziej wymownym szczegółem całej sprawy. Przestępczy serwis został wyparty przez lepiej wyposażonego konkurenta w obrębie tej samej giełdy, w ciągu kilku miesięcy. To działający rynek, z własnymi cyklami produktowymi.
Uwaga o atrybucji
Tutaj precyzja ma znaczenie. Microsoft opisuje to jako chińskojęzyczną giełdę cyberprzestępczą — czyli wskazuje język, w którym operatorzy i klienci prowadzą interesy. To nie jest to samo, co przypisanie operacji państwu chińskiemu, i Microsoft takiego twierdzenia nie formułuje. Mamy do czynienia z przestępczością motywowaną finansowo, a nie ze szpiegostwem. Warto o tym pamiętać.
Jak działa ten mechanizm
Model łańcucha dostaw
Przekonująca kampania phishingowa potrzebuje kilku rzeczy, które trudno wytworzyć samodzielnie: miejsca na fałszywą stronę, tożsamości nadawcy o reputacji wystarczającej, by przejść przez filtry, wiarygodnej kopii prawdziwej marki oraz sposobu na spieniężenie skradzionych danych logowania.
Ta siatka rozdzieliła te zadania. YAM Store zajmował się zaopatrzeniem — kontami i infrastrukturą. CoGUI i Iron Man odpowiadały za warstwę wizualną — strony-przynęty i treść wiadomości. Klient o przeciętnych umiejętnościach mógł złożyć wiarygodną kampanię, po prostu kupując komponenty.
Ten podział ról czyni z tego łańcuch dostaw — i właśnie dlatego Microsoft uderzył w dostawców, a nie w pojedyncze kampanie.
Sztuczka z wygasłymi domenami
Jedna technika zasługuje na szczególną uwagę, bo obrona przed nią leży całkowicie po stronie potencjalnej ofiary.
Operatorzy YAM Store kupowali domeny internetowe, którym prawdziwe organizacje pozwoliły wygasnąć — w tym domeny należące wcześniej do organizacji non-profit i placówek edukacyjnych — i odbudowywali na nich strony tak, by wyglądały jak legalne platformy. Takie witryny służyły następnie do kradzieży danych logowania do Microsoft 365, które wracały na sprzedaż do YAM Store.
Wartością jest tu odziedziczona reputacja. Domena z wieloletnią legalną historią, istniejącymi linkami przychodzącymi i czystą kartoteką bezpieczeństwa przechodzi przez filtry, które zatrzymałyby świeżo zarejestrowany adres. Organizacje pozarządowe i szkoły są atrakcyjnym źródłem, bo rejestrują wiele domen kampanijnych i projektowych, a rzadko mają procedurę ich bezpiecznego wycofywania.
Phishing z kodem urządzenia (device code)
Microsoft podaje, że znaczna część z 750 milionów wiadomości wymierzonych w klientów Microsoft 365 wykorzystywała phishing z użyciem kodu urządzenia do przechwytywania tokenów uwierzytelniających.
W uproszczeniu: napastnik rozpoczyna legalne logowanie na swoim urządzeniu, co generuje krótki kod. Ofiara zostaje nakłoniona — zwykle wiadomością udającą dział IT albo zaproszenie na spotkanie — do wpisania tego kodu na prawdziwej stronie logowania Microsoftu. Wszystko, co widzi ofiara, jest autentyczne. Gdy zatwierdzi logowanie, token trafia do sesji napastnika.
Dlaczego to istotne: ofiara nigdy nie wpisuje hasła na fałszywej stronie, więc szkolenia o rozpoznawaniu podrobionych witryn tego nie wyłapią. Ponieważ logowanie faktycznie się odbywa, wiele konfiguracji MFA zostaje spełnionych. A napastnik otrzymuje token, a nie hasło — więc dostęp może działać nawet po zmianie hasła.
Omijanie analizy
W lutym 2026 roku CoGUI wprowadził metodę zmyłki, która przekierowywała automatyczne piaskownice analityczne na nieszkodliwe domeny w rodzaju www.a.com, tak by narzędzia bezpieczeństwa badające odnośnik widziały niewinną treść, podczas gdy realne ofiary trafiały na stronę phishingową. Zestawy tej klasy rutynowo filtrują ruch po zakresie adresów IP, nagłówku przeglądarki i geolokalizacji z tego samego powodu.
Dlaczego to ma znaczenie
Phishing jako usługa obniżył próg wejścia niemal do zera. Subskrypcja daje 2300 gotowych stron-przynęt dla kilkudziesięciu krajów. Klient nie potrzebuje umiejętności programistycznych ani własnej infrastruktury.
Uderzanie w dostawców skaluje się lepiej niż zwalczanie kampanii. Zdjęcie jednej strony phishingowej usuwa jedną stronę phishingową. Zamknięcie sklepu, który sprzedawał konta, zestawy i domeny, osłabia wszystkich jego klientów naraz. Na tym polega strategiczna logika tej operacji.
Atak jest globalny i zarazem zlokalizowany. Szablony przygotowane dla Australii, Japonii czy Indii, podszywające się pod tamtejsze urzędy skarbowe i firmy pocztowe, oznaczają, że porada o „łamanej polszczyźnie i dziwnym formatowaniu" jest już nieaktualna. Te przynęty powstają natywnie dla każdego rynku.
Phishing z kodem urządzenia podważa powszechne założenia. Organizacje, które uważają się za zabezpieczone, bo mają włączone MFA, powinny sprawdzić konkretnie, czy przepływ device code jest w ich środowisku ograniczony.
I to wróci. Sam Microsoft przyznaje, że te trzy serwisy to tylko część większej siatki przestępczej. Analitycy spodziewają się, że operatorzy przeniosą się na alternatywne giełdy albo odbudują usługi pod nowymi nazwami w ciągu tygodni. Warto obserwować, czy YAM Store, CoGUI lub Iron Man pojawią się ponownie pod nowymi domenami albo nowymi szyldami sprzedażowymi.
Kogo to dotyczy
Klientów Microsoft 365 i Google Workspace, których konta były towarem w tym handlu.
Organizacji ochrony zdrowia — na tyle mocno, że ich branżowe ISAC przystąpiło do pozwu.
Organizacji w Japonii, USA, Australii i Indiach, gdzie zestawy miały dedykowane, zlokalizowane szablony.
Organizacji pozarządowych i placówek edukacyjnych — w nietypowej roli: nie tylko jako cele phishingu, ale jako nieświadome źródło domen, którym pozwolono wygasnąć, a które następnie wykorzystano przeciwko innym.
Marek, pod które się podszywano — poczty, urzędów skarbowych, banków, telekomów, sieci handlowych — ponoszących straty wizerunkowe z powodu oszustw, którym nie mogą zapobiec.
Każdej organizacji polegającej wyłącznie na filtrowaniu poczty, czyli na mechanizmie, do którego obejścia te serwisy zostały specjalnie zaprojektowane.
Co napastnicy mogą zrobić dzięki tym usługom
Kupić gotowe, działające konta, całkowicie pomijając etap włamania.
Wysyłać z domen o legalnej historii, dziedzicząc reputację, która pokonuje filtry.
Przekonująco podszywać się pod lokalne instytucje — we właściwym języku, z właściwym logotypem, dla właściwego kraju.
Przechwytywać tokeny uwierzytelniające zamiast haseł, utrzymując dostęp mimo resetu hasła.
Omijać automatyczną analizę, tak by odnośnik wyglądał niewinnie, gdy otworzy go piaskownica.
Skalować działania do miliarda wiadomości bez napisania choćby jednej linijki kodu.
Co powinny zrobić organizacje
Tożsamość
Ogranicz lub zablokuj przepływ uwierzytelniania device code w Entra ID, chyba że masz konkretną potrzebę jego używania. To najcenniejsze pojedyncze działanie wynikające z tego raportu, a większość organizacji nie potrzebuje tego mechanizmu dla zwykłych użytkowników.
Wdróż MFA odporne na phishing — klucze FIDO2 lub uwierzytelnianie oparte na certyfikatach — które neutralizuje zarówno kradzież poświadczeń, jak i techniki przekazywania kodu.
Włącz ochronę tokenów i ciągłą ocenę dostępu (CAE), żeby skradzionego tokenu nie dało się po prostu odtworzyć z innego urządzenia lub lokalizacji.
Unieważniaj sesje, nie tylko hasła, przy każdym podejrzeniu kompromitacji. Sam reset hasła zostawia wydany token działający.
Domeny — również te, których już nie używasz
Zinwentaryzuj każdą domenę, jaką Twoja organizacja kiedykolwiek zarejestrowała, łącznie z domenami kampanijnymi, eventowymi, projektowymi i po dawnych markach.
Nie pozwalaj domenom po cichu wygasać. Albo przedłużaj je bezterminowo, albo wycofuj świadomie: usuń rekordy DNS, unieważnij certyfikaty i najlepiej zachowaj samą rejestrację, zamiast ją zwalniać. Koszt przedłużenia jest znikomy wobec kosztu sytuacji, w której Twoja dawna domena służy do phishingu na Twoją własną społeczność.
Monitoruj rejestracje domen łudząco podobnych do Twojej marki i miej przygotowaną ścieżkę zgłaszania ich do usunięcia.
Ochrona poczty i sieci
Wymuś DMARC w trybie egzekwowania, ze zgodnymi SPF i DKIM, tak by podszycie się pod Twoją domenę kończyło się niepowodzeniem.
Nie polegaj wyłącznie na reputacji odnośników. Te zestawy są budowane tak, by pokazywać piaskownicom coś nieszkodliwego. Pomaga detonacja w realistycznym środowisku oraz sprawdzanie odnośnika w momencie kliknięcia.
Obserwuj logowania z nowo zaobserwowanej infrastruktury po kampanii wiadomości, zamiast próbować wyłapać samą wiadomość.
Ludzie
Szkol konkretnie z oszustw opartych na kodach i device code, bo nie przypominają klasycznego phishingu. Zasada jest prosta i warto ją powtarzać wprost: nigdy nie wpisuj kodu, który ktoś Ci podał, niezależnie od tego, jak wiarygodna wydaje się strona, na której go wpisujesz.
Wycofaj poradę „szukaj błędów językowych". Przy 2300 zlokalizowanych szablonach w obiegu przynęty w języku użytkownika, podszywające się pod jego własny urząd skarbowy, są standardem.
Podsumowanie i kluczowa lekcja
Pouczające w tej akcji jest to, w kogo uderzyła. Microsoft nie ścigał przestępców wysyłających miliard wiadomości. Uderzył w trzy firmy, które sprzedawały im konta, szablony i domeny — i zrobił to postanowieniem sądu cywilnego, a nie aktem oskarżenia, bo sprzedawcy są poza zasięgiem zatrzymania.
Lekcja: współczesny phishing to łańcuch dostaw, a większość zabezpieczeń wciąż projektuje się pod pojedynczego napastnika. Za jedną przekonującą fałszywą stroną logowania stoi giełda, która sprzedała domenę, dostawca zestawu, który dostarczył szablon, i broker, który odkupi skradzione poświadczenia. Każda warstwa to osobny biznes z osobnymi klientami.
Druga lekcja jest mniejsza i bardziej praktyczna. Istotna część tej operacji działała na domenach, za które legalne organizacje przestały płacić. Fundacje i uczelnie pozwoliły wygasnąć domenom projektowym, przestępcy je wykupili, a lata zbudowanego zaufania obrócono przeciwko opinii publicznej. Zarządzanie cyklem życia domen nie jest efektowne i zwykle nie jest niczyim zadaniem. W tym przypadku stało się powierzchnią ataku o skali krajowej.
Stąd dwa pytania na koniec: czy logowanie device code jest wciąż włączone w Twoim środowisku i czy wiesz, co stało się z każdą domeną, jaką Twoja organizacja kiedykolwiek posiadała?