مايكروسوفت تعطل سوقاً صينية للأنشطة الاحتيالية (التصيد) مسؤولة عن إرسال أكثر من مليار رسالة

بموجب أمر محكمة فيدرالية، قامت مايكروسوفت ومنظمة Health-ISAC بالاستيلاء على نطاقات إلكترونية كانت تشغّل خدمات “YAM Store” و”CoGUI” و”Iron Man”. التصيد الاحتيالي (Phishing)
استولت مايكروسوفت ومنظمة Health-ISAC على نطاقات إلكترونية وأعادت توجيهها؛ وهي نطاقات كانت تُستخدم من قبل خدمات “YAM Store” و”CoGUI” و”Iron Man”، التي تشكل ثلاثة مكونات لسوق صينية للجرائم الإلكترونية كانت تزود المجرمين بالحسابات وأدوات التصيد والبنية التحتية اللازمة لأنشطتهم.

استند هذا الإجراء إلى أمر صادر عن المحكمة الجزئية الأمريكية للمنطقة الجنوبية من فلوريدا. وقد انضمت منظمة Health-ISAC إلى الدعوى المدنية بعد أن دأبت الجهات الفاعلة في مجال التهديدات السيبرانية على استغلال هذه البنية التحتية الإجرامية لاستهداف المستشفيات ومؤسسات الرعاية الصحية.

ووفقاً لمايكروسوفت، استُخدمت هذه الخدمات الثلاث لإرسال أكثر من مليار رسالة ضارة منذ يناير 2026. وقد استهدفت الرسائل المستهلكين وأكثر من 75,000 مؤسسة في ما يزيد عن 150 دولة، حيث كان أكثر من 750 مليوناً منها موجهاً لعملاء مايكروسوفت. وقد حقق القائمون على هذه الخدمات أرباحاً بملايين الدولارات.

كما قامت الشركة بتعطيل أكثر من 20,000 حساب مرتبط بخدمة “YAM Store”، وتعمل حالياً على حظر أكثر من 100,000 نطاق إلكتروني كانت تُستخدم لأغراض انتحال الشخصية والاحتيال.

بدأ التحقيق في أواخر عام 2025، حين نبهت وكالة الشرطة الوطنية اليابانية شركة مايكروسوفت إلى وجود حملات رسائل ضارة تستهدف أشخاصاً داخل اليابان. وانضمت لاحقاً شركات Resecurity وCloudflare وOracle وProofpoint وTRM Labs إلى هذه الجهود، إلى جانب وكالات إنفاذ القانون الأمريكية والدولية.

وكتب ستيفن ماسادا، المدير العام لوحدة الجرائم الرقمية في مايكروسوفت: “إن ما بدأ كنشاط احتيالي يستهدف الأفراد والمؤسسات في اليابان قاد المحققين إلى اقتصاد خدمات خفي (تحت الأرض) يزود المجرمين حول العالم باحتياجاتهم. وتُعد خدمات YAM Store وCoGUI وIron Man مجرد جزء من تلك الشبكة الإجرامية الأوسع، إلا أن تعطيلها يجعل من الصعب على المجرمين الحصول على الحسابات والأدوات والبنية التحتية التي يعتمدون عليها”.

تُصنّف مايكروسوفت متجر YAM Store تحت الرمز Storm-3119. كان المتجر يبيع بنية تحتية مُنشأة باستخدام بيئات مُخترقة أو تم الحصول عليها بطرق احتيالية من مزودي خدمات مثل مايكروسوفت وجوجل. وكان بإمكان المشترين الاختيار بناءً على معايير مثل عمر الحساب، ونوع الاشتراك، ونوع البيئة (مثل المؤسسات التعليمية أو غير الربحية).

وأوضح فريق استخبارات التهديدات في مايكروسوفت أن “متجر YAM Store يعمل كوسيط للوصول (access broker)؛ إذ يقوم باختطاف مستأجري خدمات Microsoft 365 وAzure for Education، ثم يعيد بيع الحسابات والتراخيص ومساحات التخزين المسروقة كخدمة لعمليات لاحقة، بما في ذلك مجموعات أدوات التصيد الاحتيالي المصنفة تحت الرمز Storm-2990”.

كانت مجموعات أدوات التصيد الاحتيالي Storm-2990 تُباع عبر متجر YAM Store، وتُعرف بأسماء CoGUI وHaozi وIron Man.

وتُقدّر مايكروسوفت بدرجة عالية من الثقة أن هذه الأدوات طُوّرت من قبل جهات تهديد ناطقة باللغة الصينية. وذكرت الشركة أن “التشابه في البنية التحتية وتداخل الأنشطة يشيران إما إلى أصول تطوير مشتركة، أو إعادة استخدام للكود البرمجي، أو تعاون وثيق بين المطورين”.

استُخدمت أداة CoGUI بكثافة ضد الضحايا في اليابان والولايات المتحدة، ولكن بحلول منتصف عام 2026، بدأت تحل محلها بشكل متزايد أداة Iron Man، التي بدأ متجر YAM Store في الترويج لها في يونيو 2026.

توفر أداة Iron Man أكثر من 2,335 نموذجاً مخصصاً لأكثر من 139 دولة، وفقاً لمايكروسوفت. وتستحوذ الولايات المتحدة على العدد الأكبر من هذه النماذج، حيث تنتحل معظم نماذج الخداع الأمريكية صفة هيئات النقل والجهات الحكومية، مثل السلطات المسؤولة عن تحصيل رسوم المرور ومواقف السيارات.

وبخلاف نماذج الخداع الثابتة، تعمل هذه الأدوات كمنصات تفاعلية حية لسرقة بيانات الاعتماد؛ إذ تتيح هذه الآلية للمشغلين مراقبة الضحايا في الوقت الفعلي ومطالبتهم بإدخال رموز التحقق لمرة واحدة.

ومن جانبها، قامت شركة Resecurity -التي اشترت ترخيصاً لأداة Iron Man وشغّلتها في بيئة مختبرية معزولة- بإحصاء 2,360 نموذجاً تغطي 130 دولة ومنطقة، حيث أُضيف أحدث نموذج في الأول من أكتوبر.

ووجدت الشركة أن الأداة تتطلب اتصالاً مستمراً بخادم التراخيص الخاص بالمورّد لكي تعمل بشكل صحيح. صرحت شركة “Resecurity” بأن هذا يؤكد عدم إمكانية عمل لوحة التحكم دون تواصل مستمر مع البنية التحتية للمورّد؛ وهي تبعية تصب في مصلحة المدافعين، إذ أن تعطيل مضيف المصادقة أو تحويل حركة المرور الخاصة به (sinkholing) من شأنه أن يعيق أداء جميع عمليات النشر النشطة، وليس فقط تلك الخاضعة للتحقيق.