if ( !emtpy($headline_subheadline ) ) : ?>
Le Yam Store vendait des kits qui aidaient les criminels à usurper l’identité d’organisations, à voler des informations d’identification et à cibler plus de 75 000 organisations dans le monde ; L’analyse assistée par l’IA a permis d’identifier l’infrastructure derrière l’opération.
endif; ?>
Microsoft affirme avoir démantelé un marché criminel responsable d’un milliard de messages malveillants.
En collaboration avec les autorités internationales et plusieurs sociétés de technologie et de cybersécurité dans le cadre d’une enquête de près d’un an, Redmond a identifié et démantelé Yam Store, un réseau clandestin coordonné spécialisé dans le phishing commercial en tant que service (PhaaS).
Le réseau a permis aux cybercriminels d’acheter facilement et de déployer très rapidement des kits prédéfinis qu’ils pourraient utiliser dans des attaques de phishing visant à voler des données et des informations d’identification.
Microsoft a déclaré que le retrait avait commencé comme une simple enquête basée sur une information des autorités japonaises.
« En travaillant ensemble et avec l’aide d’outils d’IA, nous avons connecté des comptes, des sites Web et des infrastructures qui semblaient initialement sans rapport, contribuant ainsi à révéler le marché criminel plus large qui se cache derrière eux », a écrit Steven Masada, avocat général associé et directeur général de l’unité des crimes numériques de Microsoft, dans un article de blog. « Ce qui semble être un simple message frauduleux est souvent la fin visible d’une opération cybercriminelle transnationale bien plus vaste. »
Le marché PhaaS en évolution
Collectivement, YAM Store et les kits et outils qui y sont vendus ont permis l’envoi de plus d’un milliard de messages à plus de 75 000 organisations dans le monde. Plus de 750 millions d’entre eux ont été envoyés uniquement aux clients de Microsoft et ont finalement généré « des dizaines de millions de dollars » pour les opérateurs criminels.
L’enquête sur le marché a commencé fin 2025 après que l’Agence nationale de police japonaise (NPA) a informé Microsoft d’une « vague d’activités de fraude et d’escroquerie » ciblant des personnes et des entreprises au Japon. Les chercheurs s’attendaient à trouver plusieurs campagnes individuelles ; au lieu de cela, ils ont découvert un « vaste marché de la cybercriminalité en langue chinoise ». L’enquête s’est étendue à l’échelle mondiale et a impliqué les efforts de plusieurs autres organismes chargés de l’application de la loi, ainsi que de sociétés comme Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs.
Le magasin YAM a servi de courtier d’accès initial (IAB), fonctionnant un peu comme un marché en ligne ; dans ce cas, la marchandise était constituée de comptes Microsoft et Google frauduleux et d’autres outils prêts à l’emploi utilisés pour commettre des escroqueries telles que le vol d’informations d’identification et de données. Les clients pouvaient parcourir, comparer les prix et effectuer des achats. Les outils disponibles ont été classés en fonction de l’âge, de l’abonnement et des types d’environnement (comme les sites .edu ou .org).
Dans certains cas, les opérateurs criminels ont pu enregistrer des domaines Internet que des organisations légitimes avaient laissé expirer, puis les reconstruire pour qu’ils apparaissent actifs. Ils ont ciblé des secteurs spécifiques (comme les organisations à but non lucratif ou l’éducation) pour obtenir frauduleusement des comptes Microsoft 365 afin de les revendre ensuite via la boutique YAM.
Les chercheurs ont découvert que le YAM Store évoluait à mesure que différents kits devenaient disponibles et ont identifié trois kits PhaaS populaires : Iron Man System, CoGUI et Haozi.
Le nouveau système Iron Man est apparu à la mi-2026. Il fournissait des pages de leurre prédéfinies capturant toutes les données soumises par les victimes. Les sites de leurre se faisaient passer pour des prestataires de soins de santé, des services de police, des agences gouvernementales, des services postaux et de messagerie, des autorités chargées des péages et des transports, des agences fiscales, des banques, des télécommunications et des détaillants. Grâce à des achats tests et à des travaux de renseignement, les enquêteurs ont découvert plus de 2 300 modèles usurpant l’identité d’organisations dans plus de 150 pays.
Iron Man a efficacement étendu le modèle PhaaS en donnant aux criminels l’accès à des milliers de modèles prêts à l’emploi adaptés à des secteurs, langues et régions spécifiques. Masada a noté que beaucoup « utilisaient l’apparence de l’autorité officielle pour faire pression sur les victimes afin qu’elles effectuent des paiements ou divulguent des informations personnelles sensibles. Au lieu de créer eux-mêmes des sites Web frauduleux, les criminels pourraient rapidement déployer des pages conçues pour voler des mots de passe, des informations de paiement et d’autres données personnelles ».
Les kits étaient également équipés de techniques d’évasion avancées telles que le géorepérage, de fausses portes CAPTCHA, des listes de blocage et d’autorisation d’adresses IP et des configurations anti-détection.
Masada a souligné que, même si une organisation ou une entité gouvernementale peut avoir été présentée parmi les modèles proposés, cela n’indique pas que ses systèmes ont été compromis.
Cependant, les membres de Microsoft Threat Intelligence et de Microsoft Digital Crimes Unit ont écrit dans un article de blog : « l’ampleur et la prolifération de cet écosystème démontrent à quel point une infrastructure criminelle facilement disponible peut abaisser la barrière à l’entrée, permettant aux cybercriminels moins qualifiés de cibler les organisations à grande échelle et de contribuer aux pertes liées à la fraude ».
L’importance de la cyberhygiène
Dans presque tous les cas observés, les leurres de phishing présentaient des « signaux d’alarme d’arnaque prescriptive », ont expliqué les chercheurs de Microsoft : tâches urgentes et urgentes.
Ils ont conseillé aux utilisateurs d’avoir une compréhension de base des techniques de phishing courantes et d’être informés de toujours vérifier auprès de l’expéditeur présumé avant de cliquer sur un lien censé les diriger vers une page de connexion, même lorsque la tâche implique de se connecter à un compte connu et sécurisé.
Au-delà de cela, ont-ils déclaré, les invites de connexion doivent clairement identifier l’application sur laquelle l’authentification est effectuée. Dans les interactions Microsoft Azure depuis 2021, par exemple, les utilisateurs sont invités à « annuler » ou « continuer » lors de la connexion, mais cela est souvent absent des connexions par phishing, ont noté les chercheurs.
Le renforcement des identifiants et des identités cloud est également nécessaire pour se défendre contre les attaques de phishing ; les chercheurs ont suggéré une première étape d’outils sans mot de passe tels que les mots de passe et l’authentification multifacteur (MFA) dans les organisations.
« Invoquez les principes du moindre privilège et de la confiance zéro pour ralentir considérablement les acteurs de la menace qui auraient pu obtenir un accès initial et gagner du temps pour permettre aux défenseurs de réagir », ont noté les chercheurs. Ces étapes peuvent notamment aider à verrouiller les rôles d’administrateur global.
Ils ont également conseillé des actions supplémentaires, notamment l’utilisation de l’application Microsoft Authenticator pour les clés d’accès et l’AMF ; configuration de la stratégie Microsoft Defender pour Office 365 Safe Links à appliquer aux destinataires internes ; compléter l’AMF par des politiques d’accès conditionnel ; et autorisant uniquement les enregistrements MFA et de mot de passe à partir d’emplacements et d’appareils fiables.
