上海
一个像电商平台一样卖“钓鱼套餐”的犯罪市场，被微软连根拔起。
微软近日表示，在与多国执法机构及多家科技、网络安全公司联合调查近一年后，成功识别并关闭了YAM Store——一个支持向全球超过7.5万家组织发送10亿多条恶意信息的网络钓鱼即服务（PhaaS）平台。
这起行动最初只是日本警方提供的一条线索，最终却牵出一个规模庞大的网络犯罪市场。
从日本一条线索，牵出全球钓鱼黑市
调查始于2025年底。当时，日本国家警察厅通知微软，称出现了一波针对日本个人和企业的欺诈、诈骗活动。研究人员原本以为会看到多个独立攻击团伙，结果却发现背后是一个高度组织化的犯罪市场。
随后，调查范围扩大到全球，参与方包括多个执法机构，以及Resecurity、Cloudflare、Oracle、Proofpoint和TRM Labs等公司。微软称，AI辅助分析帮助团队把看似不相关的账户、网站和基础设施串联起来，最终揭开了YAM Store的全貌。
YAM Store发送的信息总量超过10亿条，其中超过7.5亿条发给了微软客户，为运营者带来“数千万美元”收入。
YAM Store怎么运作？像电商一样卖“钓鱼工具”
YAM Store扮演的是“初始访问代理”（IAB）角色，运作方式很像一个地下电商平台。它出售的商品包括欺诈性的微软和谷歌账户，以及其他用于窃取凭证和数据的现成工具。买家可以浏览、比价、下单。
这些账户还按“属性”分类：账户年龄、订阅类型、环境类型，比如.edu或.org网站。犯罪者甚至会注册合法组织已过期的互联网域名，再把它重新搭起来，让旧域名看起来仍在正常使用。针对非营利组织、教育机构等行业，他们会欺诈性获取Microsoft 365账户，再通过YAM Store转卖。
随着需求变化，YAM Store也在不断“上架新品”。研究人员识别出三个流行的PhaaS套件：Iron Man System、CoGUI和Haozi。其中Iron Man System在2026年年中崭露头角，提供预构建的诱饵页面，可自动捕获受害者提交的任何数据。
这些诱饵网站冒充的对象五花八门，包括医疗服务提供者、警察部门、政府机构、邮政和快递服务、收费和交通管理部门、税务机构、银行、电信公司和零售商。通过测试购买和情报分析，调查人员发现了超过2300个模板，冒充150多个国家和地区的组织。
Iron Man把PhaaS模式又往前推了一步——犯罪分子不用自己建假网站，就能快速部署针对特定行业、语言和地区定制的钓鱼页面，窃取密码、支付信息和其他个人数据。套件还配备了地理围栏、虚假CAPTCHA验证、IP地址黑白名单和反检测配置等规避技术。
怎么防？微软给出几条硬建议
微软研究人员发现，几乎所有钓鱼诱饵都带着“典型诈骗危险信号”：紧迫性和时间敏感任务。用户应在点击声称引导至登录页面的链接前，始终与所谓发送者核实，即使任务涉及登录已知的安全账户。
此外，登录提示应清晰标识正在认证的应用程序。例如自2021年以来，在Microsoft Azure的交互中，用户登录时会被提示“取消”或“继续”，但钓鱼登录页面往往缺少这一提示。
更根本的防御，是加强凭证和云身份保护。微软建议：
· 在整个组织内部署无密码工具，如通行密钥和多因素认证（MFA）；
· 运用最小权限原则和零信任原则，延缓已获得初始访问权限的攻击者行动；
· 重点锁定全局管理员角色；
· 使用Microsoft Authenticator应用进行通行密钥和MFA认证；
· 为Office 365配置Defender的Safe Links策略，覆盖内部收件人；
· 将MFA与条件访问策略结合；
· 仅允许来自受信任位置和设备的MFA及通行密钥注册。
小结：
YAM Store被端，不只是关掉一个钓鱼网站，而是打掉了一条“工业化”的钓鱼黑产供应链。10亿条信息、7.5万家组织、2300多个模板，说明网络钓鱼早已不是单打独斗，而是一门分工明确、即买即用的生意。对企业来说，通行密钥、MFA和零信任，已经不再是可选项。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
