Microsoft ujawnia chińskojęzyczną sieć phishing-as-a-service, która rozesłała ponad miliard wiadomości phishingowych
W skrócie: Microsoft wraz z partnerem Resecurity odkrył chińskojęzyczny ekosystem cyberprzestępczy skupiony wokół podziemnego rynku YAM Store (Storm-3119), który sprzedaje dostęp do przejętych lub nielegalnie pozyskanych środowisk chmurowych Microsoft i Google. Ta infrastruktura zasila trzy powiązane operacje zestawów phishingowych (CoGUI, Haozi, Iron Man System), określane łącznie jako Storm-2990, które od stycznia 2026 r. rozesłały ponad miliard wiadomości phishingowych e-mail i SMS, atakując ponad 75 000 organizacji w sektorach opieki zdrowotnej, finansów, dystrybucji i IT w Japonii, USA, Australii i Indiach. Dział Digital Crimes Unit Microsoft współpracował z organami ścigania, aby zakłócić działalność głównych twórców i infrastruktury.
To podsumowanie zostało automatycznie przygotowane przez sztuczną inteligencję na podstawie publikacji „Microsoft Security”. To nasz tekst, nie kopia oryginału — fakty, liczby i cytaty należą do źródła, do którego link znajduje się powyżej i poniżej.
Co się zmieniło?
- 1YAM Store (Storm-3119) pośredniczy w dostępie do przejętych lub nielegalnie utworzonych środowisk Microsoft 365/Azure for Education, odsprzedając konta, licencje i przestrzeń dyskową
- 2Pięcioetapowy łańcuch: automatyczny rekonesans przez Flask/Tor, przejęcie środowisk przez panele administracyjne typu app-only, nadużycie SharePoint/OneDrive za pomocą service principal PnP Management Shell, dedykowana infrastruktura DNS phishingowa przez Cloudflare oraz zautomatyzowany sklep akcept
- 3Zestawy phishingowe Storm-2990 (CoGUI, Haozi, Iron Man System) sprzedawane jako phishing-as-a-service z ponad 2335 szablonami kierowanymi do 139+ krajów, podszywające się pod instytucje rządowe, logistyczne, finansowe i medyczne
- 4Zestawy obsługują geofencing, fałszywe CAPTCHA, listy adresów IP, ustawienia anty-detekcyjne oraz powiadomienia na żywo przez boty Telegram z przechwytywaniem danych uwierzytelniających w czasie rzeczywistym przez WebSocket
- 5Microsoft DCU wraz z partnerami z organów ścigania zakłócił działalność głównych twórców i infrastruktury ekosystemu
Dlaczego to ważne?
Pokazuje to, jak jeden przestępczy rynek może zindustrializować phishing, sprzedając gotową, trudną do wykrycia infrastrukturę (skradzione środowiska chmurowe, licencje, przestrzeń dyskową, DNS) wielu operatorom zestawów phishingowych, obniżając próg umiejętności potrzebnych do masowej kradzieży danych uwierzytelniających i kart płatniczych na globalną skalę.
Co to oznacza dla agentów AI i contact center?
Jeśli Twoja firma korzysta ze środowisk Microsoft 365 lub Azure, albo z systemów CRM/e-mail z nimi powiązanych, to przypomnienie, że atakujący aktywnie poszukują wygasłych lub słabo zarządzanych kont organizacyjnych, które można przejąć za pomocą poświadczeń na poziomie aplikacji — warto przejrzeć higienę dzierżaw, uprawnienia app consent/service principal oraz monitorować nietypową aktywność SharePoint/OneDrive czy Graph API, ponieważ wiadomości phishingowe podszywające się pod instytucje finansowe, logistyczne czy rządowe mogą też trafiać do agentów contact center lub klientów.
Źródła
- Microsoft SecurityOficjalneŹródło pierwotneOryginalny artykuł →„The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime“14 paź 2026, 16:00
- Data publikacji źródła
- 14 paź 2026, 16:00
- Znalezione przez nasz system
- 14 paź 2026, 17:11
- Podsumowanie wygenerowano
- 14 paź 2026, 17:12
Artykuł napisała AI na podstawie oryginalnego źródła. Fakty, liczby i ceny pochodzą ze źródła; brakujące wartości oznaczono „Brak oficjalnych danych”. Informacje prawne, prawa autorskie i prywatność