Microsoft coupe 3 kits de phishing : 1 milliard de messages

Ce qui s'est passé

Le 14 octobre 2026, Microsoft, en collaboration avec Health-ISAC, le Japan Cybercrime Control Center (JC3) et un groupe de sociétés privées comprenant Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs, a annoncé le démantèlement coordonné de trois kits de phishing à grande échelle. Cette opération judiciaire autorisée par un tribunal met fin à une infrastructure criminelle qui a permis l'envoi de plus d'un milliard de messages malveillants depuis le début de l'année 2026 seule.

Au cœur du dispositif se trouvait le YAM Store, une place de marché clandestine opérant en langue chinoise. Cette plateforme fonctionnait comme un courtier d'accès initial (Initial Access Broker, IAB) et un fournisseur de services cybercriminels intégrés. Elle mettait à la disposition de ses clients des kits de phishing prêts à l'emploi, une infrastructure d'envoi massive et des environnements Microsoft et Google compromis ou obtenus frauduleusement pour donner une apparence légitime aux campagnes d'hameçonnage.

Les trois kits démantelés répondaient aux noms de CoGUI (également connu sous les alias NX ou FA), Haozi (alias Phoenix) et Iron Man System. Chacun ciblait un segment précis de victimes potentielles avec des leurres personnalisés. Le kit CoGUI était notamment spécialisé dans l'imitation de portails Microsoft pour voler des identifiants d'entreprise, tandis que Haozi se distinguait par ses campagnes ciblant les utilisateurs mobiles via des SMS frauduleux reproduisant des notifications de livraison ou de banque. Iron Man System fournissait l'infrastructure de collecte et de revente des identifiants volés, fermant ainsi la boucle de monétisation de l'écosystème criminel.

L'ampleur de l'opération est saisissante : depuis janvier 2026, les acteurs derrière ces kits ont facilité l'envoi de plus d'un milliard d'e-mails et de SMS de phishing à destination de plus de 75 000 organisations dans le monde. Sur ce total, plus de 750 millions de messages ciblaient spécifiquement des clients Microsoft, faisant de cette campagne l'une des plus importantes jamais documentées contre l'écosystème Microsoft 365 et Azure Active Directory. Les victimes couvraient une large gamme de secteurs : finance, santé, éducation, administration publique et industrie manufacturière.

L'enquête a débuté à la fin de l'année 2025, lorsque Microsoft a été alerté de campagnes de messagerie malveillantes visant principalement le Japon. L'analyse technique des messages et de l'infrastructure a rapidement révélé l'existence d'un écosystème structuré : des développeurs de kits, des opérateurs de campagnes et une marketplace centralisée, le YAM Store, servant d'intermédiaire. La dimension transfrontalière de l'opération a nécessité une coordination internationale impliquant les autorités japonaises via le JC3, ainsi que de multiples entreprises de cybersécurité capables de contribuer à la fois à l'analyse forensique et au démantèlement technique de l'infrastructure.

Microsoft évalue avec un degré de confiance élevé que les kits ont été développés par des acteurs malveillants sinophones. L'utilisation du YAM Store comme place de marché en langue chinoise, combinée aux techniques employées et aux cibles sélectionnées, correspond aux tactiques, techniques et procédures documentées pour plusieurs groupes de cybercriminalité opérant depuis la région Asie-Pacifique. Toutefois, Microsoft ne procède pas à une attribution à un groupe étatique particulier, qualifiant ces activités de cybercriminalité à motivation financière.

Le démantèlement a impliqué la saisie judiciaire de domaines et d'infrastructures serveurs utilisés par YAM Store et les trois kits. Cloudflare a contribué à bloquer le trafic vers les domaines malveillants, tandis que Proofpoint et Resecurity ont fourni les renseignements sur les menaces permettant d'identifier l'ensemble du réseau d'infrastructure. TRM Labs a apporté son expertise en traçage de transactions cryptographiques, indiquant que le YAM Store utilisait des paiements en cryptomonnaies, pratique courante pour éviter la traçabilité bancaire traditionnelle.

D'après Microsoft, l'opération dégrade significativement la capacité des opérateurs à reconstruire rapidement une infrastructure équivalente. La saisie des domaines prive les attaquants de leurs points de collecte de données et coupe les communications avec les kits déjà déployés. C'est une victoire tactique importante, même si les acteurs disposent des ressources financières et techniques pour reconstituer une infrastructure similaire sur de nouveaux domaines dans les semaines ou mois à venir. La vigilance reste indispensable pour les équipes de sécurité des messageries.

Pourquoi c'est important

Ce démantèlement illustre une évolution majeure dans la structuration de la cybercriminalité : le phishing n'est plus une activité artisanale mais une industrie de services. Le modèle du Phishing-as-a-Service (PhaaS), incarné par des places de marché comme YAM Store, abaisse radicalement le niveau de compétence technique nécessaire pour lancer des campagnes d'hameçonnage massives. N'importe quel acteur disposant de quelques centaines ou milliers de dollars peut désormais louer une infrastructure complète, des templates convaincants et une liste de cibles préqualifiées.

Pour les organisations françaises et européennes, le bilan de cette opération doit servir de rappel urgent : les filtrages anti-spam classiques ne suffisent plus. Les kits CoGUI, Haozi et Iron Man utilisaient des environnements d'envoi légitimes — des tenants Microsoft 365 et Google Workspace compromis ou obtenus frauduleusement — ce qui permettait aux messages de passer au travers des filtres de réputation traditionnels. La lutte contre le phishing industriel nécessite des contrôles comportementaux et sémantiques, pas uniquement des listes de blocage d'IP ou de domaines.

L'implication du Japan Cybercrime Control Center dans l'enquête souligne que les premières victimes documentées étaient japonaises, indiquant que les opérateurs testaient et affinaient leurs techniques sur le marché asiatique avant d'élargir leurs cibles à l'échelle mondiale. Cette approche progressive est caractéristique des groupes cybercriminels organisés cherchant à maximiser leur retour sur investissement tout en minimisant leur exposition aux services répressifs occidentaux.

La dimension multi-partenaires de l'opération pointe vers une tendance de fond : la réponse à la cybercriminalité organisée ne peut être seulement gouvernementale ou seulement privée. Les marketplaces criminelles comme YAM Store opèrent à la frontière de multiples juridictions et s'appuient sur l'infrastructure des grandes plateformes cloud, ce qui nécessite une coopération public-privé systématisée pour être efficacement démantelée. Cette opération constitue un modèle de référence pour les futures actions coordonnées.

Ce qu'il faut retenir

• Plus d'un milliard de messages de phishing envoyés depuis janvier 2026 via trois kits industriels démantelés par Microsoft et ses partenaires dans une opération judiciaire internationale.
• Le YAM Store, place de marché clandestine en langue chinoise, fournissait l'infrastructure complète aux attaquants, y compris des environnements Microsoft et Google compromis pour contourner les filtres anti-spam.
• Les organisations doivent déployer des solutions de filtrage comportemental et sémantique en complément des filtres d'e-mail classiques, et maintenir des programmes de sensibilisation au phishing à jour.