Microsoft совместно с Национальным полицейским агентством Японии помогла ликвидировать инфраструктуру, которую киберпреступники использовали для массовой рассылки фишинговых сообщений. В центре расследования оказался подпольный маркетплейс YAM Store и два набора для проведения атак - CoGUI и Iron Man.
По данным Microsoft, с января 2026 года эти сервисы обеспечили отправку более 1 млрд вредоносных сообщений. Их целями стали свыше 75 000 организаций по всему миру. В отдельной категории кампаний злоумышленники отправили более 750 млн сообщений, рассчитанных на массовое вовлечение получателей.
Сценарии атак были знакомы миллионам пользователей: сообщения имитировали уведомления о неоплаченном парковочном штрафе, доставке посылки, проблемах с банковским счётом или необходимости подтвердить персональные данные. Ссылки в таких SMS вели на поддельные страницы, созданные для кражи логинов, паролей, платёжной информации и одноразовых кодов.
Как работала преступная инфраструктура
YAM Store выступал в роли площадки, где злоумышленники могли получать инструменты и запускать кампании без самостоятельной разработки всей технической инфраструктуры. Фишинговые наборы CoGUI и Iron Man автоматизировали создание копий легитимных сайтов, сбор введённых данных и управление рассылками.
Такая модель снижает порог входа в киберпреступность. Операторам не требуется обладать глубокими навыками программирования - достаточно выбрать нужный шаблон, загрузить список номеров или адресов и настроить текст сообщения. Чем убедительнее выглядит уведомление, тем выше вероятность, что пользователь перейдёт по ссылке до того, как заметит подмену.
Расследование проводилось при участии Национального полицейского агентства Японии. Совместная работа позволила связать отдельные фишинговые кампании с одними и теми же сервисами и установить масштаб их применения. После принятия мер доступ к соответствующей инфраструктуре был прекращён.
Почему пользователям всё ещё нужно проверять SMS
Закрытие YAM Store не означает исчезновения подобных схем. Фишинговые платформы часто меняют домены, названия и платёжные каналы, а их операторы могут быстро переносить панели управления на новые серверы. Поэтому даже сообщение, внешне похожее на уведомление банка, магазина или госслужбы, нельзя считать достоверным только из-за знакомого логотипа.
Безопаснее не открывать ссылку из неожиданного SMS, а самостоятельно перейти в официальное приложение или ввести адрес нужного сайта вручную. Если сообщение требует срочно оплатить штраф, подтвердить доставку или сообщить код, это следует рассматривать как признак возможного смишинга - разновидности фишинга через SMS и мессенджеры.
Масштаб проблемы подтверждают и американские данные: Федеральная торговая комиссия США сообщила, что в 2024 году пользователи заявили о потерях от текстовых мошеннических схем на сумму около $470 млн. Это примерно в пять раз больше показателя 2020 года. Для защиты аккаунтов рекомендуется включать многофакторную аутентификацию, использовать уникальные пароли и проверять операции непосредственно в официальных сервисах.
Для российских пользователей основные признаки атаки остаются теми же: сокращённая ссылка, давление на эмоции, требование немедленной оплаты и просьба назвать код из SMS. При подозрении на мошенничество не следует отвечать отправителю - сообщение лучше удалить и отдельно проверить информацию через сайт или телефон организации.
