Серверные стойки в дата-центре
В YAM Store облачный доступ выбирали почти как обычный товар: по возрасту аккаунта, типу подписки, принадлежности к образовательной или некоммерческой организации. Продавались чужие учётные записи, лицензии и хранилища Microsoft и Google. У магазина были автоматизированная витрина и свои перепродавцы. Именно такой рынок обнаружила Microsoft за потоком поддельных уведомлений о посылках, штрафах и банковских проверках.
Украсть можно не только данные, но и место для следующей атаки
У похищенного облачного доступа появлялся следующий покупатель. Захваченные SharePoint и OneDrive превращались в продаваемый хостинг: пространство, заведённое для работы организации, обслуживало чужие операции. YAM Store зарабатывал на доступе к ресурсу, а его клиент уже решал, как использовать этот ресурс для мошенничества. Пострадавшая компания в такой цепочке могла стать ещё и невольным поставщиком инфраструктуры.
В разборе Microsoft есть и другой способ получить товар для витрины: восстановить сайт организации на домене, регистрацию которого прежний владелец не продлил. Видимость действующего учреждения помогала получать облачные аккаунты обманным путём. Так мошенники получали новый доступ, пользуясь прежней репутацией организации.
Microsoft проверяла магазин контрольными покупками. Покупатель мог сравнить предложения и приобрести готовые ресурсы; заказы сопровождались уведомлениями и контактами через Telegram. Смысл этой торговли вполне деловой: тот, кто добывает доступ, получает возможность продавать его тем, кто умеет искать жертв. Преступнику не нужно одновременно быть специалистом по всему.
Даже инструмент обмана требовал лицензии
Инфраструктура дополнялась готовыми фишинговыми комплектами. Для Iron Man System Microsoft описывает подписку с доступом к серверу лицензирования. Клиент преступного сервиса покупал право пользоваться инструментом — знакомая модель рынка программ, только результатом её работы становились украденные пароли и платёжные данные.
В комплект входили шаблоны банков, перевозчиков, магазинов и государственных служб. Название знакомой организации помогало заставить человека заплатить или ввести данные. При этом появление бренда в таком шаблоне не доказывает взлома систем этой организации: для поддельного требования оплатить доставку достаточно убедительной имитации. Одна и та же форма может обмануть человека и подорвать доверие к компании, чьим именем прикрываются мошенники.
Дальше в работу вступал оператор. Описанные Microsoft средства отправляли ему уведомления о действиях жертвы и позволяли управлять тем, что она увидит на следующем шаге. Это уже не просто страница, собирающая введённые сведения, а обслуживание конкретного человека в реальном времени. Только цель такого «обслуживания» — довести его до передачи пароля, карточных данных или кода подтверждения.
Руководитель Microsoft Digital Crimes Unit Стивен Масада объяснил связь между сообщением и его поставщиками так:
«Мошенническое сообщение — зачастую единственная часть, которую видит жертва. Возможность его появления обеспечивают стоящие за ним бизнесы».
По данным Microsoft, с января 2026 года YAM Store, CoGUI и Iron Man обеспечили рассылку более миллиарда вредоносных сообщений. Их целями стали более 75 тысяч организаций. Массовость обеспечивал не один особенно изобретательный мошенник, а доступность аккаунтов, хостинга и готовых инструментов для множества клиентов.
Почему отключали аккаунты, а не только поддельные страницы
14 октября Microsoft сообщила об операции против этих поставщиков. Компания отключила более 20 тысяч связанных с YAM Store учётных записей и сообщила о продолжающейся блокировке более 100 тысяч мошеннических доменов. По её сообщению, Microsoft и Health-ISAC также изъяли и перенаправили инфраструктурные домены на основании судебного распоряжения. Воздействие было направлено на ресурсы, которыми пользовались операторы разных кампаний.
В этом и состоит слабое место сервиса, который продаёт масштаб. Общий поставщик избавляет клиентов от части работы, но его отключение возвращает им эту работу: приходится искать доступ, заменять хостинг, перестраивать связанные компоненты. YAM Store, CoGUI и Iron Man — лишь часть более крупной сети. Операция не закрывает рынок фишинга, зато бьёт по главному обещанию таких сервисов покупателю: получить всё необходимое для обмана уже готовым.
#security
@digitaltimeslv