Microsoft en een internationale coalitie van partners hebben een grootschalige operatie uitgevoerd om phishingkits uit de handel te halen. Het gaat om drie kits die volgens de betrokken partijen samen verantwoordelijk waren voor het faciliteren van meer dan 1 miljard phishing-berichten via e-mail en sms. Het doel van dit soort kits blijft hetzelfde: slachtoffers misleiden en inloggegevens en financiële informatie ontfutselen.
De aanpak kreeg juridische basis via een door de rechtbank goedgekeurde actie. In dit artikel zetten we de hoofdlijnen op een rij: welke kits zijn geraakt, hoe het ecosysteem erachter werkt en welke lessen organisaties hieruit kunnen trekken.
Welke phishingkits zijn verstoord?
In de aankondiging worden drie phishingkits genoemd:
- CoGUI (ook aangeduid als NX of FA)
- Haozi (ook bekend als Phoenix)
- Iron Man System
Volgens Microsoft zijn de dreigingsactoren achter deze kits sinds januari 2026 betrokken geweest bij het ondersteunen van campagnes die gericht waren op meer dan 75.000 organisaties wereldwijd. De berichtenstroom richtte zich op consumenten en meerdere bedrijfstakken, waaronder zorg, financiële dienstverlening en logistiek.
Meer dan 1 miljard berichten: wat zegt dat over de schaal?
De omvang maakt vooral één ding duidelijk: dit is niet “één campagne”, maar een herhaalbaar product. Microsoft geeft aan dat de kits werden gebruikt om op grote schaal phishingtemplates te leveren die lijken op legitieme merken en organisaties. Daarmee kunnen criminelen consistent dezelfde aanvalspatronen inzetten, terwijl de concrete doelwitten per campagne veranderen.
Het gaat bovendien niet alleen om één land. De activiteiten werden gelinkt aan slachtoffers in meer dan 150 landen, waarbij de coalitie aangeeft dat organisaties in Japan, de VS, Australië en India expliciet in beeld waren.
De rol van de ondergrondse marktplaats (YAM Store)
Een kernpunt in het verhaal is de werkwijze van het cybercriminele ecosysteem. Microsoft beschrijft een keten waarin operators, ontwikkelaars en een illegale marktplaats samenwerken. In deze keten speelt een platform met de codenaam YAM Store een centrale rol als aanbieder van toegang en infrastructuur voor grootschalige phishingaanvallen.
Volgens de onderzoekers werd de ondergrondse service gepromoot en betaald met cryptocurrency, waaronder USDT en Ethereum. Dat is relevant omdat het de financiële sporen lastiger maakt en extra lagen toevoegt om vervolging te bemoeilijken.
YAM Store zou daarnaast infrastructuur aanbieden die volgens de beschrijving “legitiem” lijkt: denk aan omgevingen van bestaande organisaties, inclusief verlopen of eerder gebruikte omgevingen. Ook die schijnlegitimiteit helpt om aanvalsoppervlakken te vinden die lijken op normale bedrijfsactiviteiten.
Waarom de kits op elkaar leken: gedeelde ontwikkeling
Microsoft geeft aan dat er overlap bestaat in mogelijkheden en infrastructuur tussen de drie phishingkits. Dat kan wijzen op gedeelde ontwikkeling, codehergebruik of nauwe samenwerking tussen de Chinese-sprekende ontwikkelaars. Microsoft en de partners koppelden daarnaast:
- het bredere ecosysteem aan Storm-3119
- de ontwikkelaars achter de kits aan Storm-2990
Door dit soort koppelingen te leggen, wordt de kans groter dat organisaties de dreiging niet als geïsoleerde incidenten zien, maar als onderdeel van een groter “phishing-as-a-service”-model.
Zo werkt het: van lokaliseren tot inloggen en misbruik
De coalitie beschrijft diverse stappen die passen bij een phishingplatform dat op schaal draait. Daarbij wordt het proces zowel geautomatiseerd als beheerd via panelen en infrastructuur die criminelen kunnen doorontwikkelen.
1) Reconnaissance met anonieme infrastructuur
Een opvallend detail is hoe de dreigingsactoren zoeken naar geschikte doelomgevingen. Ze gebruiken automatisering om namen van verlopen omgevingen of organisaties te herkennen, cloud-geschikte profielen te vinden en uiteindelijk Microsoft 365 tenants te ontdekken. De verkenningsfase gebeurt volgens de beschrijving anoniem via Tor-infrastructuur.
2) Overname van omgevingen en beheer op afstand
Vervolgens nemen aanvallers “haalbare” omgevingen over en beheren ze die via app-only administratieve panelen. Microsoft noemt daarbij implementaties in onder meer PHP, Java/Spring en Cloudflare Workers.
3) Persistentie in de tenant
Om lang door te kunnen gaan, creëren de aanvallers aanwezigheid binnen de gecompromitteerde tenant. Microsoft stelt dat ze daarbij ruime rechten inzetten via Microsoft Graph en volledige controle over de SharePoint API. Daarna gebruiken ze de tenant en opslag (SharePoint en OneDrive) als een soort bulk-hosting voor phishinginhoud.
Het idee is niet alleen verzamelen, maar ook “verpakken” en doorverkopen: de geconfisqueerde opslag kan volgens de onderzoekers worden omgezet in een product dat door anderen kan worden ingezet.
4) Monitoring en realtime controle
Voor realtime sturing wordt ingevoerde informatie op de phishingpagina volgens de beschrijving vastgelegd via WebSocket. Zo kunnen operators de voortgang volgen en beslissen wat volgende slachtoffers te zien krijgen.
Daarna kunnen gestolen financiële gegevens worden gebruikt voor frauduleuze aankopen of transacties via legitieme financiële platforms.
Template-rijke kits en gerichte varianten
Een phishingkit is vaak sterker dan een losse phishingpagina, omdat hij uit meerdere templates kan putten. In dit geval noemt de coalitie cijfers waaruit blijkt hoe breed het bereik kan zijn.
- Proofpoint beschreef CoGUI eerder (mei 2025) met focus op Japanse organisaties, waarbij onder meer bekende consument- en financiële merken worden nagebootst.
- CoGUI zou daarnaast varianten hebben voortgebracht, zoals CoAceV en CoFish_Ws.
- TRM Labs geeft aan dat CoGUI richting medio 2026 vaker werd vervangen door Iron Man System.
TRM Labs en Resecurity noemen daarnaast dat er duizenden domeinen en templates zijn ingezet, en dat Iron Man System meer dan 2.335 phishingtemplates zou bevatten. Ook wordt genoemd dat er stappen zijn om toegang tot phishingcontent te beperken tot gebruikers uit specifieke landen.
Verder zegt Resecurity dat het in een geïsoleerd lab een licentie aanschafte en meerdere lurepakketten kon onderscheiden die verschillende categorieën nabootsen, zoals post, belasting, bankzaken, telecom en loyaliteitsprogramma’s.
De wisselwerking tussen aanvallers en “verdedigerskansen”
Hoewel de operatie vooral draait om verstoring van aanvallers, bevat het verhaal ook een aspect dat voor defenders interessant is. Microsoft beschrijft dat de kits afhankelijk zijn van een licentieserver van de leverancier, en dat het uitschakelen of sinkholen daarvan de actieve deployments kan verslechteren. Dat betekent: de infrastructuur is niet volledig zelfstandig, wat organisaties een hefboom geeft zodra die keten in beeld komt.
Daarnaast worden er technische ontwijkingsmethoden genoemd, zoals fake CAPTCHA-gates om geautomatiseerd browseverkeer te filteren, IP-gebaseerde allow-/block-lists en Telegram-achtige meldingen wanneer een slachtoffer op een lokmiddel klikt.
Lessen voor organisaties: wat kunt u nu doen?
Zelfs als uw omgeving niet exact dezelfde configuratie gebruikt als de getroffen tenants, blijven de kernmechanismen terugkomen: schaal, misbruik van cloud-omgeving en het herhaald inzetten van geloofwaardige templates.
Concrete aandachtspunten:
- Beperk toegang tot cloudresources met het principe van minimale rechten, en controleer regelmatig of brede Graph- of SharePoint-rechten logisch zijn.
- Let op misbruik van opslag en hosting in SharePoint/OneDrive: verdachte patronen in contentaanmaak of opslagverplaatsing kunnen aanwijzingen geven.
- Maak phishing veerkrachtig door gebruikers te trainen én verificatiestromen strakker te maken (bijvoorbeeld via verificatie buiten alleen wachtwoorden).
- Monitor op geautomatiseerde klikgedragspatronen en ongebruikelijke sessies die passen bij geautomatiseerde phishing.
Als u uw aanpak wilt versterken met testmethodes rond AI-gedreven verificatie of verificatiestappen, kunt u ook lezen hoe een testaanpak in OT-context kan helpen om snel zwakke plekken boven water te krijgen: AI-agenten in OT in minuten testen. Ook voor bredere phishing-resilience kan het nuttig zijn om de manier waarop phishing zich versnelt en hoe u daartegen veerkracht opbouwt te bekijken: AI maakt phishing sneller: bouw veerkracht.
Conclusie: verstoren maakt phishingkitketens kwetsbaarder
De verstoring van drie phishingkits laat zien hoe Microsoft en partners niet alleen losse campagnes bestrijden, maar ook de onderliggende “service-economie” erachter. Door zowel kits als de bijbehorende marktplaats- en infrastructuurlagen aan te pakken, wordt het voor criminelen moeilijker om accounts, tools en cloudmogelijkheden te verkrijgen en door te verkopen.
Voor organisaties betekent dit vooral dat de grootste dreiging niet één phishingmail is, maar het herhaalbare platform erachter. Door cloudtoegangen, hostinggedrag en verificatieprocessen strak te houden, verkleint u de kans dat dit soort schaalbare aanvallen slachtoffers blijft maken.
Bron: https://thehackernews.com/2026/10/microsoft-disrupts-3-phishing-kits.html
