Microsoft en Health-ISAC hebben in samenwerking met partners juridische en technische stappen gezet tegen een ondergrondse diensteneconomie die phishing en fraude op grote schaal mogelijk maakte. De aanpak richt zich op de Chinese phishingmarkt achter meer dan 1 miljard kwaadwillende berichten, verstuurd vanaf begin 2026.
Volgens Microsoft werden er met de betrokken infrastructuur berichten gestuurd naar consumenten en naar 75.000+ organisaties in meer dan 150 landen. Het ging daarbij niet alleen om losse scams: veel campagnes probeerden ook Microsoft-klanten te misleiden. Tegelijkertijd maakte de markt het criminelen relatief eenvoudig om accounts, phishingkits en infrastructuur te kopen.
Wat Microsoft precies heeft uitgeschakeld
De actie baseert zich op een bevel van de Amerikaanse District Court voor het Southern District of Florida. In het kader van de zaak zijn domeinen die werden gebruikt door drie componenten van de markt afgeleid of geblokkeerd.
Microsoft meldt dat de organisatie 20.000+ accounts heeft uitgeschakeld die waren gekoppeld aan één van de diensten. Daarnaast worden 100.000+ domeinen geblokkeerd die gebruikt werden voor impersonation en fraude.
Daarmee wordt een belangrijk deel van de “voorraad” van de daders geraakt: niet alleen de messaging zelf, maar ook de omwegen en adressen waarmee slachtoffers worden benaderd.
Van Japanse waarschuwing naar wereldwijde operatie
De keten van gebeurtenissen startte eind 2025. De Japan National Police Agency wees Microsoft erop dat in Japan een malafide berichtenstroom draaide die gericht was op mensen. Die aanleiding werd later uitgebreid met onderzoek en extra expertise van verschillende partijen.
Onder meer Resecurity, Cloudflare, Oracle, Proofpoint en TRM Labs sloten zich aan. Ook waren er betrokkenheid van wetshandhavingsinstanties in de VS en internationaal. Microsoft ziet dit traject als een voorbeeld van hoe lokale signalen kunnen uitgroeien tot een wereldwijde verstoring van een crimineel ecosysteem.
YAM Store, CoGUI en Iron Man: drie bouwstenen van de markt
Microsoft koppelt de dienst YAM Store aan Storm-3119. De markt leverde infrastructuur die was opgebouwd uit omgehackte of frauduleus verkregen omgevingen bij providers zoals Microsoft en Google. Afhankelijk van wensen konden afnemers kiezen op basis van bijvoorbeeld leeftijd van de omgeving, abonnements- en omgevingscategorie (zoals onderwijs of non-profit).
De kernfunctie van YAM Store beschrijft Microsoft als een soort access broker: een tussenpartij die Microsoft 365 en Azure for Education tenanttoegang “kapte” en doorverkocht. Daarmee konden vervolgoperaties downstream phishingkits gebruiken, waaronder kits die door Microsoft worden gevolgd als Storm-2990.
Storm-2990 phishingkits: coördinatie en iteratie in de tijd
De phishingkits die bij Storm-2990 horen worden door Microsoft geïdentificeerd als CoGUI, Haozi en Iron Man. Volgens Microsoft is er met hoge mate van zekerheid sprake van ontwikkeling door Chinese-sprekende dreigingsactoren, onder meer op basis van overlap in infrastructuur en herhaling in activiteit.
CoGUI werd sterk ingezet tegen slachtoffers in Japan en de VS. Maar rond midden 2026 verschoof het gebruik: Iron Man werd steeds vaker ingezet, nadat YAM Store de kit vanaf juni 2026 begon te promoten.
Microsoft meldt dat Iron Man duizenden templates biedt, waarbij de inhoud is afgestemd op doelgroepen en regio’s. In de VS gaat het volgens Microsoft vaak om lures die overheids- of transportgerelateerde instanties nabootsen, bijvoorbeeld rollen die te maken hebben met verkeers- of parkeervergoedingen.
Live interactie voor dataverzameling en OTP-verificatie
Een belangrijk punt in Microsofts beschrijving is dat de kits niet alleen statische pagina’s leverden. Ze functioneren als live, interactieve omgevingen waarmee operators slachtoffers tijdens het proces kunnen volgen en sturen.
Concreet kunnen operators slachtoffers prompts laten doorlopen voor een one-time verification code. Daarmee wordt het proces gericht op het oogsten van geloofsgegevens en verificatiegegevens, en niet enkel op het verzamelen van “eenmalige” antwoorden.
Waarom afhankelijkheid van een licentieserver verdedigers kan helpen
Resecurity voerde aanvullend onderzoek uit door een licentie te kopen en de kit in een geïsoleerde labomgeving te draaien. Daarbij telde de organisatie 2.360 templates voor ongeveer 130 landen, en ook werd een nieuwste toevoeging vastgesteld op 1 oktober.
Wat defensief relevant is, is de observatie dat de kit regelmatig contact moet maken met een licentie- of autorisatieserver van de leverancier. Resecurity ziet dit als een structurele afhankelijkheid: als de autorisatiehost wordt uitgezet of “gesinkhole” wordt, zou dat de werking van actieve deployments aantasten.
Met andere woorden: door verstoringen aan het vendor-kant te koppelen, kan het effect groter zijn dan alleen het onderbreken van één specifieke campagne. Het systeem verliest dan capaciteit op meerdere plekken waar het actief is.
Wat dit leert: disruptie werkt het best in meerdere lagen
De zaak laat zien dat het terugdringen van grootschalige phishing niet stopt bij het blokkeren van één domein. Microsoft raakt in dit traject zowel de toegang (accounts/tenants), de infrastructuur (domeinen) als de vervolgstappen (phishingkits en hun werking).
Dat multi-layer effect is ook logisch vanuit het verdienmodel. Als een criminele markt toegang, accounts en tools aanbiedt, dan is het disrupten van die handelslaag net zo belangrijk als het uitschakelen van losse campagnes.
Praktische aandachtspunten voor organisaties
Voor organisaties betekent dit soort verstoring niet dat het probleem is opgelost. De criminele economie past zich aan en zoekt nieuwe domeinen, nieuwe infrastructuur en nieuwe templates. Daarom helpt het om preventie en verificatieprocessen op orde te hebben.
- Verifieer verzenders en context: voorkom dat “legitiem ogende” boodschappen automatisch vertrouwen krijgen, zeker niet bij verzoeken rondom verificatiecodes.
- Test je phishingweerbaarheid: regelmatige drills maken duidelijk waar processen breken onder druk.
- Let op keten-afhankelijkheden: als services vendor-afhankelijk gedrag tonen (zoals licentiechecks), kan dat aanknopingspunten geven voor blokkeren of detecteren.
Als je wilt verdiepen in het testen van verificatie, kan dit artikel van pas komen: Deepfake readiness drill: test uw verificatieprocessen.
Ook relevant, omdat phishing vaak draait om het misbruiken van technische flows: curl HTTP/2 uploadfout: fix en risico’s. Het is geen direct vervolg op deze zaak, maar wel een voorbeeld van hoe moderne aanvallen leunen op praktische technische details.
Slot: de Chinese phishingmarkt wordt kleiner, maar niet onmiddellijk weg
Microsofts ingreep bij de Chinese phishingmarkt achter meer dan 1 miljard berichten laat zien dat publieke samenwerking en gerichte disruptie resultaat kunnen opleveren. Door domeinen, accounts en delen van de onderliggende tooling aan te pakken, wordt het voor criminelen lastiger om snel nieuwe campagnes op te tuigen.
Tegelijk geldt: zolang er afzetmarkten bestaan voor accounts en phishingkits, blijven dreigingsactoren nieuwe varianten ontwikkelen. Daarom is het verstandig om verstoringen te zien als een momentopname en om intern te blijven investeren in verificatie, detectie en training.
Bron: https://www.securityweek.com/microsoft-disrupts-chinese-language-phishing-market-behind-1b-messages/
