Microsoft démantèle le « YAM Store » : un milliard de messages de phishing envoyés depuis janvier

Microsoft vient de porter un coup majeur à l'un des plus gros réseaux de phishing au monde. Le mercredi 14 octobre 2026, l'unité des crimes numériques de l'entreprise a annoncé le démantèlement d'un écosystème criminel de langue chinoise responsable, depuis janvier 2026, de l'envoi de plus d'un milliard de courriels et de SMS de phishing vers plus de 75 000 organisations dans le monde — dont 750 millions de messages visant directement des clients de Microsoft.

Trois kits de phishing, une seule infrastructure

L'opération, autorisée par un tribunal fédéral du district sud de la Floride, a frappé trois kits de phishing-as-a-service : CoGUI (alias NX ou FA), Haozi (alias Phoenix) et Iron Man System. Microsoft les regroupe sous le nom de code Storm-2990. Ces kits fournissent aux cybercriminels des modèles prêts à l'emploi imitant des marques légitimes — gouvernements, banques, logisticiens — pour voler des identifiants à très grande échelle.

Le « YAM Store », la pièce maîtresse

Au centre du réseau se trouvait le YAM Store, un marché clandestin suivi sous le nom Storm-3119. Son activité ingénieuse et perverse : repérer des domaines internet expirés appartenant à de vraies organisations, les reconstruire pour les faire paraître actifs, puis obtenir frauduleusement des comptes Microsoft 365 — notamment des comptes éducatifs et d'organismes sans but lucratif, réputés dignes de confiance. Ces comptes à « forte réputation » contournaient précisément les filtres anti-spam des entreprises, qui traitent les expéditeurs Microsoft 365 avec indulgence. Le YAM Store revendait ensuite ces accès via une boutique automatisée aux développeurs des trois kits de phishing.

Une coalition inédite

• Plus de 20 000 comptes liés au YAM Store désactivés.
• Plus de 100 000 domaines d'usurpation et de fraude bloqués — et ce n'est pas fini.
• Partenaires : Health-ISAC, la police nationale du Japon, le centre japonais de contrôle de la cybercriminalité (JC3), Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs.

L'enquête, lancée fin 2025 après le signalement de campagnes malveillantes ciblant le Japon, a abouti à un rapport technique complet publié le 14 octobre sur le blogue sécurité de Microsoft. Preuve de l'ampleur : la société Proofpoint a confirmé que le seul kit CoGUI servait à usurper au moins 66 marques, majoritairement japonaises.

Notre avis

C'est un takedown spectaculaire par sa taille — un milliard de messages, c'est du jamais-vu — mais ce qui nous frappe le plus, c'est la méthode : les criminels n'ont pas piraté des serveurs, ils ont exploité la confiance elle-même, en détournant des comptes éducatifs respectables pour passer entre les mailles des filtres. Ce démantèlement fragilisera durablement l'économie souterraine du phishing en langue chinoise. Pour les entreprises, la leçon est claire : la réputation d'un expéditeur ne vaut plus rien, il faut valider le message, pas seulement l'expéditeur.