A Microsoft felszámolna egy globális kibercsaló szolgáltatói hálózatot

Több mint egymilliárd üzenet mögött álltak

A Microsoft október 14-i közlése szerint a három szolgáltatás világszerte több mint 75 ezer szervezetet célzott, köztük fogyasztókat, egészségügyi intézményeket, pénzügyi szervezeteket és más vállalkozásokat. Az üzenetek több mint 150 országba jutottak el, a Microsoft ügyfelei ellen pedig 750 milliónál is több üzenetet használtak.

A kampányok célja az volt, hogy a címzettek egy hivatkozásra kattintsanak, személyes adatokat adjanak meg vagy fizessenek. A csalók csomagkézbesítésre, útdíjra, banki ügyekre vagy adótartozásra hivatkozó értesítéseket küldtek. A Microsoft szerint az üzemeltetők tízmillió dolláros nagyságrendű bevételre tettek szert.

Japánból indult a hálózat feltérképezése

A vizsgálat 2025 végén kezdődött, miután a japán Nemzeti Rendőrségi Ügynökség, az NPA rosszindulatú üzenetküldési kampányokra hívta fel a Microsoft figyelmét. A nyomozás később egy kínai nyelvű kiberbűnözői piactérhez vezetett, ahol a bűnözők kész fiókokat, tárhelyszolgáltatásokat és hamis weboldalak létrehozásához használható eszközöket vásárolhattak.

A CoGUI előre elkészített weboldalakat és üzeneteket kínált, amelyek cégeket, pénzügyi intézményeket, kormányzati szerveket és más megbízható szervezeteket utánoztak. Ezekkel jelszavakat, fizetési adatokat és egyéb személyes információkat próbáltak megszerezni. A Microsoft ellenőrzött vásárlásokkal vizsgálta a YAM Store működését is, amely Microsoft- és Google-fiókokat, valamint hitelesítő adatok ellopására használható eszközöket kínált.

A Microsoft közlése szerint egyes üzemeltetők lejárt internetes domaineket szereztek meg, gyakran nonprofit szervezetekhez vagy oktatási intézményekhez kapcsolódó címeket. A weboldalakat újjáépítették, hogy aktív szervezetnek tűnjenek, majd az így megszerzett Microsoft 365-fiókokat értékesítették.

Bírósági végzés alapján irányították át a domaineket

Az Iron Man a CoGUI továbbfejlesztett változataként jelent meg, és több ezer, megbízható szervezeteket utánzó sablont kínált. A Resecurity közreműködésével végzett vizsgálat több mint 2300 sablont azonosított bankok, kiskereskedők, egészségügyi szolgáltatók, közlekedési hatóságok, rendőrségek és kormányzati szervek nevében, több mint 150 országban.

A Microsoft hangsúlyozta, hogy egy szervezet vagy kormányzati szerv megjelenése ezekben a sablonokban önmagában nem jelenti azt, hogy az adott szervezet rendszereit feltörték. Az Iron Man e-mailes, SMS-es és webes tartalmak gyors létrehozását tette lehetővé, országokhoz, iparágakhoz és konkrét márkákhoz igazítva.

Az Egyesült Államok Florida déli körzetének kerületi bírósága által kiadott végzés alapján a Microsoft és a Health-ISAC lefoglalta és átirányította a három szolgáltatás infrastruktúrájához tartozó domaineket. A Microsoft emellett több mint 20 ezer, a YAM Store-hoz kapcsolódó fiókot tiltott le, szolgáltatásain eltávolítja a kapcsolódó infrastruktúrát, és több mint 100 ezer, megszemélyesítéshez és csaláshoz használt domaint blokkol.

A műveletben a japán NPA és a Japan Cybercrime Control Center mellett a Resecurity, a Cloudflare, az Oracle, a Proofpoint, a TRM Labs és a Health-ISAC vett részt. A Microsoft szerint a szervezetek közötti információmegosztás, a nemzetközi együttműködés és az AI-eszközök segítségével sikerült összekapcsolni a korábban különállónak tűnő fiókokat, weboldalakat és infrastruktúrákat. A szolgáltatók ellehetetlenítése megnehezítheti a csalók számára a kampányokhoz szükséges fiókok, eszközök és infrastruktúra beszerzését.