// CLUBIC — CYBERSECURITY
1 milliard de messages frauduleux plus tard, Microsoft frappe un gigantesque réseau de phishing
Microsoft a mené une vaste opération contre un réseau qui fournissait comptes, infrastructures et faux sites web aux escrocs du monde entier. Des domaines ont été saisis et plus de 20 000 comptes désactivés pour perturber les activités de plusieurs kits de phishing et d’une place de marché clandestine.
Plus d’un milliard de mails et de SMS malveillants envoyés depuis janvier 2026 : en moins de dix mois, trois kits de phishing auraient contribué à des campagnes ciblant plus de 75 000 organisations dans plus de 150 pays, selon Microsoft. L’enquête a débuté fin 2025, après des signalements d’escroqueries au Japon. En remontant la piste de ces messages, les chercheurs ont découvert un marché clandestin fournissant aux cybercriminels des kits proposant des milliers de modèles de pages frauduleuses, mais aussi des comptes Microsoft et Google pour mener leurs attaques.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Dans le détail, Microsoft a identifié trois kits de phishing, baptisés CoGUI, Haozi et Iron Man System, développés au sein d’un écosystème cybercriminel sinophone. Utilisé depuis au moins octobre 2024, CoGUI servait à usurper l’identité de grandes marques comme Amazon, PayPay, Apple ou Rakuten, principalement au Japon. Les messages frauduleux redirigeaient leurs destinataires vers de fausses pages de connexion ou de paiement, conçues pour récupérer leurs identifiants et leurs coordonnées bancaires.
À partir de juin 2026, Iron Man System a progressivement gagné du terrain. Les chercheurs de Resecurity, qui en ont acheté une licence pour l’étudier, ont recensé 2 360 modèles de pages frauduleuses imitant des banques, des services postaux, des administrations fiscales ou encore des opérateurs télécoms dans 130 pays et territoires.
Iron Man System transmettait aussi en temps réel les informations saisies par les victimes sur ces fausses pages. Les escrocs pouvaient recevoir des alertes sur Telegram, suivre les actions de leurs cibles et choisir ce qui s’afficherait ensuite à l’écran. Pour échapper aux systèmes de détection, le kit disposait de faux CAPTCHA, de restrictions géographiques et de listes d’adresses IP autorisées ou bloquées.
Ces trois kits étaient commercialisés via YAM Store, une place de marché clandestine qui approvisionnait aussi leurs opérateurs en comptes Microsoft et Google piratés ou obtenus en usurpant l’identité d’organisations dont les noms de domaine avaient expiré, ainsi qu’en espaces de stockage cloud détournés.
Pour remonter jusqu’aux opérateurs de ce réseau, Microsoft a travaillé avec la police nationale japonaise, le Japan Cybercrime Control Center (JC3) et plusieurs entreprises de cybersécurité, parmi lesquelles Resecurity, Cloudflare et Proofpoint. Les campagnes ayant également visé des organisations de santé, Health-ISAC, une association spécialisée dans le partage de renseignements sur les cybermenaces dans ce secteur, s’est jointe à Microsoft pour engager une action judiciaire.
Grâce à une décision du tribunal fédéral du district sud de la Floride, les deux organisations ont pu saisir et rediriger des noms de domaine utilisés par YAM Store, CoGUI et Iron Man System, trois composantes d’un réseau criminel plus vaste. Microsoft a également désactivé plus de 20 000 comptes associés à la place de marché et déjà bloqué plus de 100 000 domaines utilisés pour des opérations d’usurpation d’identité et de fraude.
À noter enfin que sur le milliard de messages frauduleux attribués à cet écosystème, plus de 750 millions ciblaient des clients de Microsoft. Selon l’entreprise, ces campagnes auraient rapporté plusieurs dizaines de millions de dollars à leurs opérateurs.