Microsoft сообщила о разоблачении и нейтрализации преступной платформы, распространявшей около миллиарда вредоносных сообщений.
В ходе почти годового расследования, в тесном сотрудничестве с международными правоохранительными органами и несколькими компаниями, специализирующимися на технологиях и кибербезопасности, компания из Редмонда выявила и обезвредила Yam Store – это была хорошо организованная, нелегальная сеть, занимавшаяся коммерческим предоставлением услуг фишинга (PhaaS).
Эта сеть позволяла киберпреступникам легко приобретать и быстро использовать готовые наборы, предназначенные для фишинговых атак, с целью кражи данных и учетных данных.
Microsoft сообщила, что операция по нейтрализации началась как обычное расследование, основанное на информации, полученной от японских властей.
"Благодаря совместной работе и использованию инструментов искусственного интеллекта, нам удалось связать аккаунты, веб-сайты и инфраструктуру, которые изначально казались не связанными, что позволило выявить более широкую преступную платформу", – написал Стивен Масада, заместитель генерального юрисконсульта и руководитель отдела цифровых преступлений Microsoft, в своем блоге. "То, что на первый взгляд кажется обычной мошеннической рассылкой, зачастую является видимым финалом масштабной, трансграничной киберпреступной операции".
Рынок PhaaS становится все более зрелым и разнообразным
Платформа YAM Store и связанные с ней инструменты позволили отправить более миллиарда сообщений в 75 000 организаций по всему миру. Более 750 миллионов из этих сообщений были отправлены непосредственно пользователям Microsoft, что, в конечном итоге, принесло мошенническим группам "десятки миллионов долларов".
Расследование на платформе началось в конце 2025 года, когда японская Национальная полиция (NPA) сообщила Microsoft о "массовых случаях мошенничества и сложных схемах", направленных против частных лиц и компаний в Японии. Аналитики ожидали обнаружить несколько отдельных кампаний, однако они выявили "разветвленную китайскоязычную сеть киберпреступлений". Расследование было расширено на международный уровень и включало участие других правоохранительных органов, а также компаний, таких как Resecurity, Cloudflare, Oracle, Proofpoint и TRM Labs.
Платформа YAM Store действовала как онлайн-площадка, предоставляя доступ к различным сервисам и инструментам. В частности, предлагались поддельные учетные записи Microsoft и Google, а также другие готовые решения для осуществления мошеннических действий, включая кражу учетных данных и личной информации. Пользователи могли просматривать предлагаемый ассортимент, сравнивать цены и совершать покупки. Инструменты были организованы по категориям, таким как возраст, тип подписки и среда использования (например, сайты .edu или .org).
В некоторых случаях, злоумышленники получали возможность зарегистрировать ранее автоматизированные интернет-домены и впоследствии восстанавливать их, чтобы они выглядели активными. Они ориентировались на конкретные секторы, такие как некоммерческие организации и образовательные учреждения, с целью получения поддельных учетных записей Microsoft 365, которые затем продавались через YAM Store.
Исследователи установили, что платформа YAM Store постоянно расширялась за счет появления новых наборов инструментов, и выявили три наиболее популярных PhaaS-набора: Iron Man System, CoGUI и Haozi.
В середине 2026 года появилась новая система, получившая название «Iron Man». Она позволяла создавать готовые страницы, содержащие фишинговые ссылки, предназначенные для сбора персональных данных у пользователей. Эти страницы имитировали интерфейсы различных организаций, включая медицинские учреждения, полицейские департаменты, государственные органы, службы доставки, налоговые органы, банки, телекоммуникационные компании и розничные магазины. Благодаря проведению тестовых операций и оперативной работе, следователи выявили более 2300 шаблонов, имитирующих деятельность организаций в более чем 150 странах.
Железный человек» фактически расширил модель PhaaS (Platform as a Service), предоставив злоумышленникам доступ к тысячам готовых шаблонов, разработанных для конкретных отраслей, языков и регионов. Эксперты отмечают, что злоумышленники часто использовали «фасад официальной власти», чтобы вынудить жертв платить или раскрывать конфиденциальную личную информацию. Вместо того, чтобы создавать собственные фишинговые сайты, преступники могли быстро развертывать страницы, предназначенные для кражи паролей, платежной информации и другой личной информации.
Наборы также содержали передовые методы обхода систем защиты, включая геофенсинг, использование поддельных CAPTCHA, списки заблокированных и разрешенных IP-адресов, а также настройки для затруднения обнаружения.
Масада отметил, что даже если организация или государственная структура упоминаются в списке предлагаемых решений, это не означает, что системы этой организации были скомпрометированы.
Тем не менее, эксперты из Microsoft Threat Intelligence и Microsoft Digital Crimes Unit в своем блоге подчеркнули: «Масштаб и распространенность этой экосистемы демонстрируют, насколько легко доступная преступная инфраструктура может снизить порог входа, позволяя менее квалифицированным киберпреступникам нацеливаться на организации в больших масштабах и приводить к финансовым потерям».
Кибергигиена: почему это важно для бизнеса
Исследователи Microsoft, проанализировав большое количество инцидентов, обнаружили, что фишинговые атаки часто используют тактику "нажимания". Это означает, что злоумышленники создают ощущение срочности и призывают пользователей выполнить определенные действия в ограниченный срок.
Эксперты рекомендуют пользователям иметь базовые знания о распространенных методах фишинга и всегда проверять подлинность отправителя, прежде чем переходить по ссылкам, которые якобы ведут на страницу входа. Это особенно важно, даже если задача связана с входом в знакомый и безопасный аккаунт.
Кроме того, исследователи подчеркивают, что подсказки для входа должны четко указывать, к какому приложению пользователь пытается подключиться. Например, при взаимодействии с Microsoft Azure с 2021 года пользователи получают запрос на "отмену" или "продолжение" при входе, но эта функция часто отсутствует в фишинговых подделках, как отмечают специалисты.
Для повышения защиты от фишинговых атак необходимо усилить защиту учетных данных и облачных идентификаторов. Эксперты рекомендуют начать с внедрения инструментов, исключающих использование паролей, таких как passkeys и многофакторная аутентификация (MFA), во всех организациях.
Исследователи отмечают, что внедрение принципов минимальных привилегий и нулевого доверия значительно усложняет работу злоумышленникам, даже если они получили первоначальный доступ к системе. Это дает защитникам больше времени для реагирования на возникшую угрозу. В частности, необходимо строго ограничивать доступ к глобальным административным ролям.
Эксперты также предложили дополнительные меры безопасности, в частности: использование приложения Microsoft Authenticator для аутентификации с помощью passkeys и многофакторной аутентификации (MFA); настройку политики Safe Links в Microsoft Defender for Office 365 для внутренних пользователей; применение MFA в сочетании с политиками условного доступа; а также ограничение возможности регистрации MFA и passkeys только для устройств и сетей, которым доверяете.
Обзор рынка облачных решений для малого и среднего бизнеса: тенденции и перспективы
В последние годы облачные технологии стремительно набирают популярность, предлагая компаниям, особенно малым и средним, гибкие, масштабируемые и экономически эффективные решения для управления своими данными и приложениями. Рынок облачных услуг для малого и среднего бизнеса (SMB) демонстрирует устойчивый рост, обусловленный растущим спросом на доступность, безопасность и простоту использования.
Одним из ключевых трендов является переход к гибридным облачным архитектурам. Многие компании выбирают комбинацию публичных и частных облаков, чтобы оптимизировать свои затраты, повысить безопасность и обеспечить соответствие нормативным требованиям. Это позволяет им использовать преимущества каждого типа облака, например, публичное облако для некритичных задач и частное облако для хранения конфиденциальных данных.
Другим важным аспектом является развитие облачных решений, ориентированных на конкретные отрасли. Поставщики предлагают специализированные платформы, адаптированные к потребностям таких секторов, как здравоохранение, финансы и производство. Эти решения часто включают в себя встроенные функции для соответствия отраслевым стандартам и нормативным требованиям.
Кроме того, наблюдается рост спроса на облачные сервисы, предоставляющие возможности для автоматизации и оптимизации бизнес-процессов. Облачные платформы позволяют компаниям автоматизировать рутинные задачи, улучшить взаимодействие между отделами и принимать более обоснованные решения на основе данных.
В будущем ожидается дальнейшее развитие облачных технологий для малого и среднего бизнеса. Поставщики будут продолжать предлагать новые и инновационные решения, ориентированные на конкретные потребности клиентов. Также можно ожидать усиления конкуренции на рынке, что приведет к снижению цен и повышению качества услуг.
В целом, рынок облачных решений для малого и среднего бизнеса представляет собой динамичную и перспективную область. Компании, которые смогут эффективно использовать облачные технологии, получат значительные преимущества в конкурентной борьбе и смогут быстрее адаптироваться к меняющимся условиям рынка.
