Microsoft rolt gigantisch phishingnetwerk op

Het onderzoek bracht een cybercriminele marktplaats aan het licht waar criminelen kant-en-klare phishingwebsites, accounts en andere hulpmiddelen konden kopen. Microsoft onderneemt daarom samen met Health-ISAC juridische stappen tegen drie onderdelen van het netwerk: YAM Store, CoGUI en Iron Man. Daarmee richt Microsoft zich niet alleen op afzonderlijke phishingberichten, maar ook op de infrastructuur die grootschalige online fraude mogelijk maakt.

Het onderzoek begon eind 2025 nadat de Japanse nationale politie (NPA) Microsoft waarschuwde voor een golf van oplichtingsberichten die gericht was op Japanse burgers en bedrijven. Wat aanvankelijk leek op losstaande phishingcampagnes, bleek bij nader onderzoek het zichtbare puntje van de ijsberg van een georganiseerde cybercriminele industrie.

Phishing als kant-en-klare dienst

Via de ontmantelde diensten vulden criminelen elkaar naadloos aan binnen een kant-en-klare diensteneconomie:

YAM Store: Via YAM Store kochten criminelen accounts en infrastructuur. Het functioneerde als een reguliere webshop op Telegram waar criminelen nepaccounts voor Microsoft 365 en Google Workspace konden aanschaffen. De beheerders kochten onder meer verlopen domeinnamen op van legitieme stichtingen en scholen, bouwden de websites na om ze actief te laten lijken en vroegen zo op frauduleuze wijze zakelijke accounts aan.

CoGUI: Leverde de tools om nepwebsites en phishingberichten te maken. Het bood kant-en-klare phishingsites en berichten die bekende merken, banken en overheidsinstanties imiteerden, waaronder Amazon Japan.

Iron Man: De opvolger van CoGUI die in de loop van 2026 populair werd. Onderzoekers kregen via testaankopen toegang tot het systeem en troffen meer dan 2.300 phishingtemplates aan. Hiermee deden criminelen zich voor als vertrouwde organisaties, waaronder de Nederlandse Belastingdienst, politiekorpsen, pakketbezorgers en banken in meer dan 150 landen. Zo misleidden ze consumenten en bedrijven, onder meer in de zorg en financiële sector.

Internationale samenwerking

Het onderzoek begon met informatie van de Japanse politie. Geen enkele instantie had het volledige overzicht, waardoor internationale samenwerking doorslaggevend bleek. Samen met internationale partners — waaronder het Japan Cybercrime Control Center (JC3), Health-ISAC, Cloudflare, Oracle, Proofpoint, Resecurity en TRM Labs — bracht Microsoft het bredere netwerk achter de frauduleuze berichten in kaart. Met behulp van AI-hulpmiddelen konden schijnbaar ongerelateerde accounts en servers aan elkaar worden gekoppeld.

Meer dan 20.000 accounts uitgeschakeld

Microsoft en Health-ISAC hebben via een gerechtelijk bevel van de federale rechtbank in Florida (VS) domeinen in beslag genomen en omgeleid. Microsoft schakelde daarnaast ruim 20.000 accounts uit en blokkeert meer dan 100.000 domeinen die voor fraude worden gebruikt.

Lees meer over de actie in de officiële Microsoft-blog en het technische onderzoek van Microsoft Threat Intelligence.