Microsoft 聯同日本警方及多間國際資安公司展開跨國行動，打擊一個以中文運作、向詐騙集團出售雲端帳號及釣魚網站工具的地下犯罪市場。Microsoft 與醫療業網絡安全組織 Health-ISAC 於 10 月 14 日宣布，已根據美國法院命令，接管及重新導向 YAM Store、CoGUI 和 Iron Man 相關犯罪基建的部分網域，並停用逾 2 萬個相關帳號。
Microsoft 指自 2026 年 1 月起，這個供應鏈支援的詐騙活動涉及逾 10 億則惡意電郵及短訊，針對全球超過 75,000 間機構，其中逾 7.5 億則訊息針對 Microsoft 客戶。攻擊遍及 150 多個國家，涉及金融、醫療、零售及政府機構，據報為犯罪平台營運者帶來數千萬美元收入。
日本警方追查詐騙短訊 揭出龐大地下交易市場
調查始於 2025 年底。日本警察廳向 Microsoft 提供當地釣魚詐騙活動情報，調查人員原先追查個別攻擊事件，最終發現背後有一個使用中文交易的網絡犯罪市場，專門向其他犯罪分子提供帳號、雲端資源及假冒網站工具。
日本網絡犯罪對策中心 JC3、Resecurity、Cloudflare、Oracle、Proofpoint 及 TRM Labs 等機構其後參與調查，協助追蹤不同犯罪服務之間的關係。
其中 YAM Store 是供應鏈上游，Microsoft 將其列為 Storm-3119。這個平台如同一般網上商店，犯罪分子可以比較價格，購買非法取得的 Microsoft 365、Google 雲端帳號，以及相關授權及儲存資源。
調查亦發現 YAM Store 會搜尋已過期的教育及非牟利機構網域，重新建立看似真實的組織網站，再利用這些身份欺詐取得雲端服務帳號。Microsoft 更發現部分虛構機構資料可能由 AI 生成，令犯罪分子可以冒充合法組織取得資源，再轉售給其他詐騙集團。
Iron Man 提供逾 2,300 款假網站模板 可即時操控受害者畫面
調查揭露的另一部分是釣魚服務平台。CoGUI、Haozi 及 Iron Man System 被 Microsoft 歸入 Storm-2990 活動群組，專門提供仿冒銀行、物流公司及政府部門的現成網站和詐騙訊息模板。
CoGUI 早期主要針對日本及美國市場，但到 2026 年中開始逐漸被 Iron Man 取代。後者提供大量現成網站模板，犯罪分子毋須自行編寫程式，就可以建立假冒 Amazon、DHL、銀行或政府機構的網頁。
Microsoft 技術報告指出，Iron Man 擁有逾 2,335 款模板，涵蓋超過 139 個國家。另一間參與調查的資安公司 Resecurity 則在取得平台授權及分析系統後，發現 2,360 款釣魚模板，覆蓋 130 個國家及地區。
Iron Man 更支援地理位置限制、假 CAPTCHA 驗證及 IP 封鎖功能，讓詐騙網站避開部分自動化資安掃描。系統亦整合 Telegram Bot，當受害者輸入密碼、信用卡資料或驗證碼，詐騙分子即可收到即時通知。
部分功能更容許詐騙分子透過 WebSocket，即時監察受害者操作，控制假網站下一步顯示的內容，令釣魚詐騙由單純收集資料，變成可以與受害者即時互動的犯罪服務。
封鎖逾 10 萬個詐騙網域 法院行動仍在進行
Microsoft 與 Health-ISAC 已取得美國佛羅里達州南區聯邦地方法院的臨時禁令，接管及重新導向涉及三項服務的部分網域。Microsoft 同時停用超過 20,000 個與 YAM Store 有關的帳號，並封鎖逾 100,000 個用於冒認身份及欺詐的網域。
法院公開文件顯示，Microsoft 和 Health-ISAC 已向以 YAM Store 名義經營業務的 Yang Jian 及其他未具名被告提出民事訴訟，並尋求進一步禁令及賠償。目前的法院行動主要針對犯罪基建，並不代表整個跨國詐騙網絡已被永久瓦解。
Microsoft 提醒用戶，釣魚訊息經常冒充官方通知，要求立即支付路費、交通罰款或處理包裹問題。即使訊息使用熟悉的品牌標誌，也應透過官方網站或應用程式自行核實，避免直接開啟短訊內的付款或登入連結。
資料來源：Microsoft 官方公告、Microsoft Security、Resecurity、Microsoft 法院文件、日本 JC3
