Microsoft разби фишинг услуги: YAM Store и CoGUI

Microsoft и Health-ISAC успяха да нарушат работата на три китайскоезични фишинг услуги – YAM Store, CoGUI и Iron Man, – които според публикации в специализираните медии са помагали на престъпници да изпратят над 1 милиард злонамерени съобщения към над 75 000 организации в повече от 150 държави от януари 2026 г. насам. Акцията е обявена на 14 октомври и е част от по-широк натиск върху „фишинг като услуга“ – пазар, на който измамниците купуват готови страници, имейли и дори фалшиви акаунти. За читателите у нас най-важният извод е прост: подобни кампании се копират лесно, а фалшивите съобщения от банки, куриери и институции изглеждат все по-убедително.

Какви фишинг услуги са разбити: YAM Store, CoGUI и Iron Man

Според публикации на The Record и на BankInfoSecurity Цифровото звено за борба с престъпността (Digital Crimes Unit) на Microsoft и организацията Health-ISAC са подали искане до федерален съд в Южния окръг на Флорида. Съдът го е одобрил на 7 октомври, а акцията е оповестена публично една седмица по-късно. Решението позволява поемане на контрола над няколко домейна от най-високо ниво, които са поддържали трите платформи, и задължава доставчици на инфраструктура да изключат свързани сървъри.

Трите услуги са имали различна роля. YAM Store е продавал измамно придобити акаунти в Microsoft и Google, облачни ресурси и хостинг. CoGUI и Iron Man са предлагали готови фишинг страници и съобщения, които имитират банки, търговци, транспортни компании и държавни органи. С други думи, престъпникът не е трябвало да разбира от програмиране – достатъчно е било да плати и да избере шаблон.

Мащабът в числа

Публикуваните данни са впечатляващи. Според TRM Labs, която е участвала в разследването, и други издания, от януари 2026 г. насам услугите са позволили над милиард злонамерени съобщения към над 75 000 организации. Повече от 750 милиона от тях са били насочени към клиенти на Microsoft. Самата компания съобщава, че е деактивирала над 20 000 акаунта, свързани с YAM Store, и продължава да блокира над 100 000 домейна, използвани за имитация и измами.

Разследването започва, след като Националната полицейска агенция на Япония сигнализира Microsoft за кампании със злонамерени съобщения, насочени към хора в страната. По данни от публикациите CoGUI е бил масово използван срещу японски потребители, но към средата на 2026 г. Iron Man постепенно го измества като основен канал за доставка. В акцията са участвали и Cloudflare, Oracle, Proofpoint и Resecurity, като Cloudflare е спрял акаунти и е поставил предупредителни страници пред злонамерени връзки там, където домейните не са могли да бъдат иззети.

Какво е „фишинг като услуга“ и защо е опасен

„Фишинг като услуга“ е бизнес модел, при който една група престъпници изгражда инструментите, а други ги наемат срещу такса. Купувачът получава готов уебсайт, който копира страница на банка или куриерска фирма, шаблони на съобщения и понякога акаунти, от които да ги изпраща. Така хиляди дребни измамници получават възможностите на добре организирана група. Поради това една успешна акция срещу доставчика засяга много кампании едновременно.

Същевременно самата Microsoft признава, че разбиването няма да унищожи цялата екосистема. Платформите могат да се появят отново под нови имена и домейни, а част от имитираните организации изобщо не са били компрометирани – измамниците просто копират външния им вид. Затова новината е по-скоро знак за посоката, в която се развива престъпността, отколкото за приключила история.

Какво означава това за потребителите в България

Българските потребители не са посочени като основна цел в публикуваните данни, но моделът е универсален: шаблоните лесно се превеждат и пригаждат към местни банки, куриери и институции. Подобни схеми вече се виждат и у нас – от фалшиви съобщения за недоставена пратка до имейли, които се представят за банка или за НАП. Вижте също как работят измами с клониране на глас в материала ни AI клониране на глас: как гръцка банда крадеше от роднини и защо личните данни се търгуват в мрежата в Телефони на Facebook се продават в Telegram.

Практичните правила не се променят. Не отваряйте връзки от неочаквани съобщения, а влизайте в профила си чрез приложението или като въведете адреса на сайта ръчно. Включете двуфакторно удостоверяване, а там, където е възможно – ключове за достъп (passkeys), които не могат да бъдат „откраднати“ през фалшива страница. Използвайте различни и силни пароли – защо това е важно, показва и класацията на най-слабите пароли. Ако вече сте въвели данни на съмнителна страница, веднага сменете паролата и се свържете с банката си.

Как да разпознаете фишинг съобщение

• Спешност и заплаха: „акаунтът ви ще бъде блокиран до 24 часа“ е класически признак.
• Адрес на подателя и връзка, които само приличат на истинските – проверете домейна буква по буква.
• Искане за парола, код от SMS или данни за карта по имейл, SMS или чат – легитимни институции не ги искат така.
• Неочаквани файлове и QR кодове, които водят към страница за „потвърждение“.

Често задавани въпроси

Означава ли акцията, че фишингът спира? Не. Тя прекъсва конкретна инфраструктура, но по думите на самата Microsoft ще се отрази само частично на по-широката екосистема, а нови услуги могат да се появят бързо.

Засегнати ли са българските потребители? Публичните данни не посочват България поотделно. Услугите обаче са действали в над 150 държави, а имитирането на банки и куриери е лесно за адаптиране към всеки пазар.

Какво да направя, ако съм кликнал на подозрителна връзка? Сменете паролата си от доверено устройство, включете двуфакторно удостоверяване, проверете сметките си и подайте сигнал към банката. При измама можете да сезирате и ГДБОП.

Още новини от рубриката четете в Технологии – Новини, а за друга схема, която експлоатира реклами, вижте материала за AdFection.