Chińskojęzyczne zaplecze oszustw na całym świecie. Microsoft i japońska policja ujawniają skalę procederu

Za masowymi oszustwami SMS i kampaniami phishingowymi wymierzonymi w ponad 150 krajów stoi rozbudowany, chińskojęzyczny ekosystem usług cyberprzestępczych. Microsoft i japońska policja ustaliły, że od początku 2026 roku platformy YAM Store, CoGUI i Iron Man pomogły rozesłać ponad miliard szkodliwych wiadomości. Wśród organizacji, pod które podszywali się przestępcy, znalazły się również podmioty z Polski.

Microsoft i organizacja Health-ISAC podjęły działania prawne przeciwko trzem platformom wykorzystywanym przez cyberprzestępców: YAM Store, CoGUI i Iron Man. Według ustaleń Microsoftu, od stycznia 2026 roku powiązana z nimi infrastruktura posłużyła do wysłania ponad miliarda szkodliwych wiadomości, wymierzonych w ponad 75 tys. organizacji. Ponad 750 mln z nich trafiło do klientów Microsoftu. Kampanie prowadzono w ponad 150 krajach, a operatorzy tych usług mieli zarobić na procederze dziesiątki milionów dolarów.

Cyberprzestępcy kupowali gotowe narzędzia

Dochodzenie rozpoczęło się pod koniec 2025 roku od informacji japońskiej Narodowej Agencji Policyjnej (NPA) o oszustwach wymierzonych w mieszkańców Japonii. Microsoft i współpracujące z nim organizacje odkryły rozbudowany, chińskojęzyczny rynek usług dla cyberprzestępców. Zamiast samodzielnie przygotowywać infrastrukturę, mogli oni kupować konta, usługi hostingowe i gotowe narzędzia do tworzenia fałszywych stron oraz wiadomości.

YAM Store działał jak sklep internetowy, w którym można było nabyć m.in. fałszywe konta Microsoft i Google oraz inne narzędzia wykorzystywane do wyłudzania danych. W niektórych przypadkach przestępcy przejmowali wygasłe domeny legalnych organizacji, odtwarzali ich strony i pozyskiwali w ten sposób konta Microsoft 365 przeznaczone później do sprzedaży.

CoGUI dostarczało gotowe witryny podszywające się pod zaufane firmy i instytucje. Ich celem była kradzież haseł, danych płatniczych i innych informacji osobistych. Z kolei narzędzie Iron Man zapewniało dostęp do ponad 2300 szablonów imitujących m.in. banki, sklepy, placówki medyczne, firmy kurierskie, linie lotnicze, policję i urzędy z ponad 150 krajów. Na ich podstawie można było szybko przygotowywać wiadomości SMS, e-maile i fałszywe strony dopasowane do konkretnej marki lub rynku.

Wśród celów także organizacje z Polski

Szablony pozwalały przestępcom podszywać się pod rozpoznawalne marki i instytucje, aby skłonić odbiorców do kliknięcia w link, przekazania danych lub dokonania płatności. Wykorzystywano przy tym m.in. preteksty związane z niedostarczoną przesyłką, zaległą opłatą, kontem bankowym czy sprawami urzędowymi. Wśród podmiotów, których wizerunek wykorzystywano w kampaniach, znalazły się również organizacje działające w Polsce. Nie oznacza to jednak, że doszło do włamania do ich systemów lub naruszenia ich bezpieczeństwa.

W śledztwie uczestniczyły m.in. japońskie NPA i Japan Cybercrime Control Center (JC3), a także Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs oraz Health-ISAC, które dostarczyły informacji o zagrożeniach dla sektora ochrony zdrowia. Współpraca pozwoliła powiązać pozornie niezależne konta, domeny i kampanie z jednym ekosystemem przestępczym.

Przejęto domeny i zablokowano konta

Na mocy nakazu Sądu Okręgowego Stanów Zjednoczonych dla Południowego Okręgu Florydy, Microsoft i Health-ISAC przejęły i przekierowały domeny powiązane z YAM Store, CoGUI i Iron Man. Microsoft poinformował również o zablokowaniu ponad 20 tys. kont związanych z YAM Store oraz ponad 100 tys. domen wykorzystywanych do podszywania się pod inne podmioty i prowadzenia oszustw.

Celem tych działań jest ograniczenie dostępu przestępców do infrastruktury, kont i gotowych narzędzi, a nie tylko blokowanie pojedynczych wiadomości. Według Microsoftu, sprawa pokazuje, że masowe oszustwa coraz częściej opierają się na wyspecjalizowanych usługach, które pozwalają przestępcom prowadzić kampanie na dużą skalę.

Dla odbiorców najważniejsze pozostaje zachowanie ostrożności wobec nieoczekiwanych wiadomości, zwłaszcza tych wywołujących presję czasu i nakłaniających do kliknięcia w link lub pilnej płatności. Nawet jeśli komunikat wygląda wiarygodnie, warto sprawdzić jego treść bezpośrednio w oficjalnej aplikacji lub na stronie danej instytucji.