"آنچه که به نظر می رسد یک پیام کلاهبرداری ساده است، اغلب پایان قابل مشاهده یک عملیات مجرمانه سایبری فراملی بسیار بزرگتر است": مایکروسافت رهبری جهانی حذف شبکه فیشینگ را بر عهده دارد که بیش از یک میلیارد پیام ارسال می کرد.

مایکروسافت به برچیدن یک بازار جرایم سایبری که ابزارهای فیشینگ، حساب‌ها و زیرساخت‌های کلاهبرداری را می فروخت کمک کرد.

پلتفرم‌های CoGUI و Iron Man کمپین‌های فیشینگ در مقیاس بزرگ را فعال کردند که سازمان‌ها را در سراسر جهان هدف قرار می‌دهند.

این عملیات بیش از یک میلیارد پیام فیشینگ را قبل از توقیف دامنه ها و هزاران حساب انجام داد در اواخر سال گذشته، مایکروسافت شروع به بررسی یک کمپین فیشینگ دیگر کرد.

با این حال، آنچه در زیر سطح کشف شد بسیار بزرگتر بود - این یک بازار گسترده جرایم سایبری به زبان چینی بود که در آن عوامل تهدید بی‌شماری حساب‌های دیجیتال، خدمات میزبانی وب و همچنین ابزارهای مختلف مورد نیاز برای ایجاد وب‌سایت‌های جعلی و هویت جعلی را خریداری، معامله و فروختند.

این شرکت اکنون فاش کرده است که چگونه به همراه شرکت‌های خصوصی امنیت سایبری از جمله Proofpoint و آژانس‌های مجری قانون از ژاپن، اقدام به از بین بردن بازار را انجام داده است.

فروشگاه YAM، CoGUI، و مرد آهنی

تحقیقات پس از آن آغاز شد که آژانس پلیس ملی ژاپن (NPA) به مایکروسافت در مورد موجی از کلاهبرداری و فعالیت های کلاهبرداری که هم افراد و هم مشاغل در این کشور را هدف قرار می دهد، خبر داد.

محققان یک بازار زیرزمینی بزرگ به نام YAM Store را کشف کردند، جایی که مشاهده کردند حساب‌های مایکروسافت و گوگل تقلبی برای فروش ارائه می‌شوند و همچنین ابزارهای مختلف آماده برای انجام کلاهبرداری، از جمله سرقت مدارک اعتباری.

در فروشگاه، دو ابزار خاص برجسته بودند: CoGUI و Iron Man. به نظر می رسد اولی یک چارچوب ساخت وب سایت باشد، در حالی که دومی یک گالری قالب است.

مایکروسافت توضیح داد: «CoGUI به مجرمان وب‌سایت‌ها و پیام‌های آماده جعل هویت شرکت‌ها، مؤسسات مالی، سازمان‌های دولتی و سایر سازمان‌های مورد اعتماد را ارائه می‌کرد». مجرمان می‌توانند به‌جای ایجاد وب‌سایت‌های تقلبی، به سرعت صفحاتی را که برای سرقت رمزهای عبور، اطلاعات پرداخت و سایر داده‌های شخصی طراحی شده‌اند، مستقر کنند.»

به گفته محققان، CoGUI به یکی از پرکاربردترین پیشنهادها در اکوسیستم تبدیل شد، در درجه اول برای هدف قرار دادن قربانیان در ژاپن و ایالات متحده. با این حال، در اواسط سال 2026 به طور پیوسته توسط مرد آهنی جایگزین شد:

محققان گفتند: «مرد آهنی با دسترسی مجرمان به هزاران الگوی آماده که برای جعل هویت سازمان‌های مورد اعتماد طراحی شده‌اند، مدل را گسترش داد. پس از آن مجرمان می توانند به سرعت ایمیل، متن و محتوای وب را متناسب با برندها، صنایع و کشورهای خاص به کار گیرند.

مایکروسافت گفت این ابزار بیش از 2300 الگو از بانک‌های مختلف، خرده‌فروشان، ارائه‌دهندگان مراقبت‌های بهداشتی، ادارات پلیس و سایر سازمان‌ها را ارائه می‌دهد که در بیش از 150 کشور در سراسر جهان یافت می‌شوند.

این فروشگاه و پیشنهادات آن در جامعه مجرمان سایبری بسیار محبوب بود. فقط در این سال، آنها بیش از یک میلیارد پیام فیشینگ را با هدف 75000 سازمان در سراسر جهان تسهیل کردند. مشتریان مایکروسافت به تنهایی بیش از 750 میلیون از این پیام ها را از ابتدای سال دریافت کرده اند.

این حملات به معنای "ده ها میلیون دلار" سود برای اپراتورها بود.

برچیدن عملیات

مایکروسافت گفت که این شبکه اکنون در حال نابودی است. پس از دریافت حکم از دادگاه منطقه ای ایالات متحده برای ناحیه جنوبی فلوریدا، مایکروسافت و Health-ISAC (یک سازمان غیرانتفاعی جهانی که به شرکت های مراقبت های بهداشتی کمک می کند تا اطلاعات سایبری را به اشتراک بگذارند) دامنه های منتهی به YAM Store، CoGUI و Iron Man را ضبط و هدایت کردند. در همان زمان، مایکروسافت بیش از 20000 حساب متصل به فروشگاه را غیرفعال کرد و «با حذف زیرساخت‌های میزبانی شده روی سرویس‌های خود به از بین بردن عملیات ادامه می‌دهد».

تاکنون، این اقدام بیش از 100000 دامنه مورد استفاده برای جعل هویت و کلاهبرداری را مسدود کرده است.

محققان نتیجه گرفتند: «آنچه با فعالیت کلاهبرداری با هدف قرار دادن افراد و سازمان‌ها در ژاپن آغاز شد، محققان را به سمت یک اقتصاد خدمات زیرزمینی سوق داد که مجرمان را در سراسر جهان تامین می‌کرد.

«YAM Store، CoGUI و Iron Man تنها بخشی از آن شبکه جنایی بزرگتر هستند، اما ایجاد اختلال در آنها، دستیابی به حساب‌ها، ابزارها و زیرساخت‌هایی را که به آنها متکی هستند برای مجرمان دشوارتر می‌کند.»

در حالی که خراب کردن زیرساخت ها قابل ستایش است، اما بدون دستگیری این احتمال وجود دارد که بازار دیر یا زود دوباره ظهور کند. به عنوان مثال، هنگامی که سازمان‌های مجری قانون در اوایل سال 2025 دو پلتفرم اصلی Cracked و Nulled را از بین بردند، دو مظنون را دستگیر کردند و 17 سرور و بیش از 50 دستگاه الکترونیکی را توقیف کردند.

Cracked and Nulled، انجمن‌هایی که کالاهای غیرقانونی و جرایم سایبری را به عنوان خدمات ارائه می‌کردند، در مجموع بیش از 10 میلیون کاربر را شمارش کردند و بازرسان تخمین زدند مظنونان دستگیر شده بیش از یک میلیون دلار سود مجرمانه کسب کرده‌اند.