Contexte et portée
Depuis janvier 2026, le marché illégal nommé YAM Store, associé aux kits de phishing CoGUI et Iron Man, a permis l’envoi de plus d’un milliard de messages malveillants. Ces envois ont touché plus de 75 000 organisations dans plus de 150 pays, dont 750 millions de messages ciblant spécifiquement les clients Microsoft. Le modèle économique du réseau a généré plusieurs dizaines de millions de dollars, principalement en revendant des comptes compromis et en facturant l’accès à des modèles d’usurpation.
Mécanismes du marketplace YAM Store
YAM Store fonctionnait comme une place de marché en ligne où les fraudeurs pouvaient acheter des comptes Microsoft ou Google volés, ainsi que des domaines expirés appartenant à des organisations légitimes. En réenregistrant ces domaines, les opérateurs créaient des sites factices qui imitaient des entités réelles (banques, services publics, etc.). Ces sites servaient à récolter de nouveaux identifiants Microsoft, qui étaient ensuite revendus aux acheteurs du marketplace. Cette chaîne de réutilisation d’identifiants amplifie la surface d’attaque, car chaque compte compromis devient une source supplémentaire de messages de phishing.
Analyse technique des kits de phishing
Le kit CoGUI proposait une interface graphique permettant de composer rapidement des campagnes de messagerie, d’importer des listes de contacts et d’automatiser l’envoi via les comptes achetés. Iron Man, quant à lui, offrait plus de 2 300 modèles pré‑conçus, chacun contenant des éléments d’usurpation (logos, adresses, numéros de téléphone) adaptés à des secteurs variés comme la santé ou la finance. Ces modèles réduisent le temps de configuration et augmentent le taux de délivrabilité, car ils exploitent des domaines déjà reconnus par les filtres de messagerie. Le volume d’envois (plus de 100 000 domaines bloqués) indique que les opérateurs exploitaient massivement l’infrastructure DNS pour héberger les sites de phishing, rendant la détection au niveau du réseau difficile.
Réponses et mesures d’atténuation
Microsoft a désactivé plus de 20 000 comptes liés à YAM Store et a bloqué plus de 100 000 domaines utilisés pour l’usurpation. En collaboration avec l’agence nationale de police japonaise et le collectif de cybersécurité Health‑ISAC, les autorités ont saisi et redirigé les domaines actifs, interrompant ainsi la chaîne de distribution. Cette action montre l’efficacité d’une coopération transfrontalière combinant renseignement sur les infrastructures DNS, analyse de trafic et partage d’indicateurs de compromission. Toutefois, la persistance du modèle de marché indique que d’autres plateformes similaires pourraient émerger, soulignant la nécessité d’une surveillance continue des registres de domaines et d’une validation stricte des comptes Microsoft.
