Hơn 75.000 tổ chức bị nhắm mục tiêu, Microsoft chặn mạng lưới lừa đảo

YAM Store cùng các công cụ lừa đảo CoGUI và Iron Man đã tạo ra hơn 1 tỷ tin nhắn độc hại nhắm vào hơn 75.000 tổ chức trên toàn cầu kể từ tháng 1/2026. Microsoft và Health-ISAC đã chặn các tên miền và tài khoản liên quan.

Ba dịch vụ này nhắm vào người tiêu dùng, tổ chức y tế, tổ chức tài chính và doanh nghiệp tại hơn 150 quốc gia. Trong số đó, hơn 750 triệu tin nhắn nhắm vào khách hàng Microsoft. Microsoft công bố số liệu này trong cuộc điều tra được công bố ngày 14/10.

Ba dịch vụ đảm nhiệm những khâu khác nhau trong chuỗi cung ứng tội phạm. YAM Store bán tài khoản Microsoft và Google cùng tài nguyên đám mây bị chiếm đoạt; CoGUI và Iron Man cung cấp trang lừa đảo cùng công cụ nhắn tin giả mạo doanh nghiệp, ngân hàng và cơ quan chính phủ. Microsoft và Resecurity tìm thấy hơn 2.300 mẫu giả mạo trên Iron Man. Việc tên một tổ chức xuất hiện trong mẫu không đồng nghĩa hệ thống của tổ chức đó đã bị xâm nhập.

Cuộc điều tra bắt đầu sau khi Cơ quan Cảnh sát Quốc gia Nhật Bản chuyển cho Microsoft thông tin về các vụ lừa đảo tại Nhật Bản. Microsoft cho biết đã chia sẻ thông tin với Trung tâm Chống tội phạm mạng Nhật Bản (JC3), Resecurity, Cloudflare, Oracle, Proofpoint và TRM Labs để lần theo mối liên hệ giữa các dịch vụ.

Theo lệnh của Tòa án Liên bang Mỹ tại Quận Nam Florida, Microsoft và Health-ISAC đã tiếp quản rồi chuyển hướng các tên miền hạ tầng của YAM Store và những dịch vụ lừa đảo liên quan. Microsoft cho biết đã vô hiệu hóa hơn 20.000 tài khoản gắn với YAM Store và đang chặn hơn 100.000 tên miền giả mạo, lừa đảo. Cloudflare cũng thông báo đã đình chỉ các tài khoản và dự án Workers liên quan, đồng thời chặn hàng trăm tên miền và dự án.

Microsoft cho biết ba dịch vụ nhận Tether (USDT) và Ethereum (ETH) làm phương tiện thanh toán. TRM Labs nói thông tin điều tra đã góp phần xác định và đóng băng các tài sản liên quan, nhưng không công bố loại tài sản cũng như số lượng hay giá trị bị đóng băng.

Biện pháp này nhắm vào nền tảng cung cấp tài khoản, tên miền và công cụ lừa đảo, thay vì chỉ xóa từng tin nhắn độc hại. Một vụ chặn hạ tầng lừa đảo khác cũng được đề cập trong bài viết trước của TokenPost về EvilToken. Microsoft cho biết một số nhà đăng ký tên miền hoạt động tại các khu vực pháp lý khó phối hợp với lệnh tịch thu của tòa án, nên có khả năng hạ tầng thay thế sẽ xuất hiện.