Microsoft och Health-ISAC har genomfört en omfattande operation som resulterat i att domäner kopplade till tre centrala delar av ett cyberbrottsmanskap – YAM Store, CoGUI och Iron Man – har avslutats och omkanaliserats. Dessa tjänster har sedan januari 2026 været i bruk för att skicka över en astronomisk mängd skadliga meddelanden, nämligen över en miljard stycken. Målgruppen omfattade mer än 75000 organisationer runt om i världen, med över 750 miljoner meddelanden riktade specifikt mot Microsofts kunder.

Operationen avslöjade ett sofistikerat ’tjenstemansaffärs’ – en modell där kriminella utnyttjar färdiga tjänster för att effektivisera sina attacker. YAM Store fungerade som en onlinebutik där bedragare köpte falska Microsoft- och Googlekonton samt verktyg för att stjäla lösenord och genomföra andra bedrägerier. Operatörerna av YAM Store köpte även utflötlade domäner, inklusive de som tidigare använts av ideella organisationer och utbildningsinstitutioner. De använde dessa domäner för att återuppbygga webbplatser och sälja Microsoft 365-konton vidare.

CoGUI erbjöd kriminella färdiga webbplatser och meddelanden som förfalskade legitima företag, banker och myndigheter. Dessa verktyg gjorde det enklare att skapa falska sidor för att stjäla inloggningsuppgifter, betalningsinformation och personliga data.

Vid mitten av 2026 började brottslingarna i allt högre grad att använda Iron Man istället för CoGUI. Utredningen upptäckte över 2300 mallar som förfalskade organisationer i över 150 länder. Mallarna täckte en bred palett av mål, från banker och återförsäljare till vårdgivare, leveranstjänster och myndigheter. Dessa användes i bedrägerier som involverade stulna lösenord, bedrägliga betalningar och förfalskningar av myndigheter.

Microsoft och Health-ISAC har nu genomfört en lagligt beträtt domäner och förhindrat att dessa tjänster fortsätter att tillhandahålla stöldartiklar. Trots detta menar experter att det är ett steg i rätt riktning, och att det behöver stödjas av ytterligare åtgärder. “Modern bedrägerier baseras på företag och tjänster som gör det lättare för kriminella att nå fler offer,” noterade Microsoft i sitt officiella rapport.

Sina Chehreghani, Head of Threat Intel and Threat Research at Securonix, kommenterade att operationen speglar en tjänstemansaffär som ger kriminella enklare att lansera och upprepa kampanjer. “Detta visar att tjänstemansaffärer är något som ökar,” sa han. Han tillade också att Health-ISAC:s engagemang illustrerar riskerna för sjukhus och vårdorganisationer. ”Det är viktigt att säkerhetslagar agerar på de angreppssätten som dessa medel kan ge.”