Microsoft zakłóca działanie trzech zestawów phishingowych powiązanych z ponad miliardem wiadomości oszustw

Wprowadzenie do problemu / definicja

Microsoft poinformował o przeprowadzeniu skoordynowanej operacji wymierzonej w trzy zestawy phishingowe wykorzystywane w modelu phishing-as-a-service: CoGUI, Haozi oraz Iron Man System. Tego typu platformy upraszczają prowadzenie kampanii wyłudzających dane, udostępniając gotowe szablony, panele administracyjne, infrastrukturę oraz mechanizmy automatyzacji. W praktyce oznacza to obniżenie progu wejścia dla cyberprzestępców i możliwość prowadzenia masowych operacji przeciwko organizacjom oraz użytkownikom końcowym.

W skrócie

Microsoft, wspólnie z partnerami branżowymi i organizacjami wymiany informacji o zagrożeniach, zakłócił działanie trzech zestawów phishingowych powiązanych z kampaniami na skalę globalną. Według ujawnionych informacji od stycznia 2026 roku narzędzia te miały umożliwić rozesłanie ponad miliarda phishingowych e-maili i wiadomości SMS do ponad 75 tysięcy organizacji w przeszło 150 krajach.

Operacja była efektem śledztwa rozpoczętego po kampaniach wymierzonych m.in. w podmioty w Japonii. Analiza wskazała na powiązania z chińskojęzycznym ekosystemem cyberprzestępczym, obejmującym zarówno twórców zestawów, jak i podziemny rynek dostarczający infrastrukturę oraz przejęte środowiska chmurowe.

Kontekst / historia

Śledztwo rozpoczęło się pod koniec 2025 roku, gdy wykryto złośliwe kampanie wiadomości wymierzone w odbiorców w Japonii. Z czasem analiza ujawniła szerszy model operacyjny: zestawy phishingowe nie funkcjonowały jako odizolowane narzędzia, lecz jako element większego ekosystemu usług cyberprzestępczych.

W centrum tego modelu znajdował się rynek określany jako YAM Store, który oferował zarówno same zestawy phishingowe, jak i dostęp do skompromitowanych lub uzyskanych w sposób oszukańczy środowisk chmurowych. Według opisu operacji cyberprzestępcy wykorzystywali te zasoby do prowadzenia kampanii przeciwko sektorom ochrony zdrowia, usług finansowych, dystrybucji hurtowej oraz IT.

Skala i geografia działań pokazują, że nie była to operacja ograniczona do jednego rynku. Cele znajdowały się m.in. w Japonii, Stanach Zjednoczonych, Australii i Indiach, a szablony przynęt były dostosowane do lokalnych marek, usług kurierskich, instytucji finansowych oraz podmiotów administracji.

Analiza techniczna

Technicznie sprawa wykracza poza klasyczne strony logowania podszywające się pod legalne usługi. Opisane operacje obejmowały rozpoznanie, przejmowanie środowisk, monetyzację infrastruktury i bieżące wsparcie dla klientów modelu phishing-as-a-service.

Jednym z kluczowych elementów było zautomatyzowane rozpoznanie organizacji korzystających z usług chmurowych. Atakujący mieli identyfikować wygasłe środowiska, profilować organizacje używające usług cloud oraz wyszukiwać tenanty Microsoft 365. Faza rekonesansu miała być prowadzona anonimowo z użyciem infrastruktury Tor. Następnie operatorzy przejmowali użyteczne środowiska i zarządzali nimi z wykorzystaniem paneli administracyjnych opartych m.in. na PHP, Java/Spring i Cloudflare Workers.

Po uzyskaniu dostępu cyberprzestępcy osadzali się w tenantach, nadawali szerokie uprawnienia przez Microsoft Graph oraz uzyskiwali pełną kontrolę nad interfejsami SharePoint API. Pozwalało to nadużywać zasobów SharePoint i OneDrive jako zaplecza hostingowego dla kampanii phishingowych. Przejęta przestrzeń dyskowa oraz konta stawały się następnie produktem odsprzedawanym kolejnym przestępcom.

Same zestawy phishingowe zawierały rozbudowane funkcje operacyjne. Iron Man System miał oferować tysiące szablonów przynęt przygotowanych dla dziesiątek państw i wielu kategorii marek, takich jak bankowość, podatki, operatorzy telekomunikacyjni, logistyka czy programy lojalnościowe. Kampanie były lokalizowane geograficznie, a dostęp do treści phishingowej ograniczano na podstawie kraju ofiary, co utrudniało analizę i zmniejszało prawdopodobieństwo wykrycia przez badaczy spoza wybranego regionu.

Na uwagę zasługują także techniki omijania detekcji. Wśród nich wskazano fałszywe bramki CAPTCHA, listy blokowania i dopuszczania oparte o adresy IP oraz powiadomienia przez komunikatory informujące operatora o aktywności ofiary. Dane wpisywane na stronach phishingowych miały być przechwytywane przez WebSocket, co umożliwiało monitorowanie sesji niemal w czasie rzeczywistym i dynamiczne sterowanie kolejnymi ekranami prezentowanymi ofierze.

Istotny był również aspekt zależności licencyjnej. Analiza jednego z zestawów wykazała, że jego działanie wymagało regularnego kontaktu z serwerem autoryzacyjnym dostawcy. Z punktu widzenia obrońców jest to słaby punkt architektury przestępczej, ponieważ unieszkodliwienie lub przejęcie takiego hosta może ograniczyć funkcjonowanie wielu wdrożeń jednocześnie.

Konsekwencje / ryzyko

Najważniejszą konsekwencją jest skala. Ponad miliard wiadomości phishingowych i SMS-ów wskazuje, że mamy do czynienia nie z pojedynczą kampanią, lecz z przemysłowym modelem świadczenia usług przestępczych. Ryzyko dotyczy zarówno użytkowników końcowych, jak i organizacji, których legalna infrastruktura mogła zostać wykorzystana jako element łańcucha ataku.

Dla przedsiębiorstw oznacza to kilka warstw zagrożenia:

wyłudzenie poświadczeń, danych płatniczych lub tokenów sesyjnych od pracowników,
wykorzystanie przejętego tenanta chmurowego jako wiarygodnej platformy do dalszych kampanii,
nadużycie legalnych usług przechowywania i współpracy w celu obejścia części tradycyjnych mechanizmów reputacyjnych,
trudności w szybkim wykryciu lokalnie dopasowanych kampanii SMS i e-mail.

Szczególnie wysokie ryzyko występuje w sektorach o dużej liczbie użytkowników, złożonych relacjach B2B oraz intensywnym obiegu wiadomości zewnętrznych, takich jak ochrona zdrowia, finanse, handel hurtowy i IT. Dodatkowym problemem jest internacjonalizacja kampanii: lokalne szablony marek i komunikatów znacząco zwiększają wiarygodność przynęty.

Rekomendacje

Organizacje powinny przyjąć, że phishing-as-a-service jest dziś zjawiskiem wysoce zautomatyzowanym i wspieranym przez dojrzałe zaplecze usługowe. W praktyce oznacza to potrzebę wzmacniania zarówno warstwy tożsamości, jak i nadzoru nad zasobami chmurowymi.

Podstawowym działaniem pozostaje wymuszenie silnego uwierzytelniania wieloskładnikowego odpornego na phishing, w tym tam, gdzie to możliwe, mechanizmów opartych o standardy FIDO2 lub passkeys. Równolegle należy ograniczać uprawnienia aplikacji, regularnie przeglądać zgody OAuth oraz monitorować nadmierne uprawnienia przyznane przez Microsoft Graph i interfejsy powiązane z SharePoint oraz OneDrive.

Z perspektywy wykrywania kluczowe jest:

monitorowanie nietypowych zmian w tenantach Microsoft 365,
analiza nowych lub rzadko używanych aplikacji z wysokimi uprawnieniami,
wykrywanie masowego użycia zasobów SharePoint i OneDrive jako hostingu,
korelacja zdarzeń logowania z nietypowych lokalizacji i przez nietypowe klienty,
identyfikacja kampanii wykorzystujących lokalne przynęty SMS oraz e-mail.

W obszarze ochrony użytkowników warto rozwijać symulacje phishingu uwzględniające wiadomości SMS, fałszywe strony marek lokalnych oraz scenariusze wieloetapowe. Szkolenia powinny obejmować nie tylko rozpoznawanie linków i domen, ale także ostrzeżenia dotyczące stron z CAPTCHA, żądających pilnego potwierdzenia płatności, danych karty lub ponownego logowania.

Zespoły SOC i IR powinny również przygotować procedury pod kątem przejęcia tenantów chmurowych. Obejmuje to szybkie cofanie zgód aplikacyjnych, rotację poświadczeń, przegląd artefaktów trwałości, analizę aktywności w SharePoint i OneDrive oraz weryfikację, czy organizacyjna infrastruktura nie była wtórnie używana do dystrybucji phishingu.

Podsumowanie

Operacja wymierzona w CoGUI, Haozi i Iron Man System pokazuje, że współczesny phishing jest usługą działającą na skalę przemysłową, z własnym łańcuchem dostaw, zapleczem infrastrukturalnym i mechanizmami monetyzacji. To już nie tylko problem pojedynczych fałszywych stron, ale rozbudowany ekosystem łączący przejęte środowiska chmurowe, gotowe zestawy przynęt, automatyzację oraz sprzedaż dostępu innym przestępcom.

Dla obrońców kluczowe jest przesunięcie uwagi z samej wiadomości phishingowej na całą infrastrukturę wspierającą atak: tożsamość, zgody aplikacyjne, przejęte tenanty i nadużycia legalnych usług chmurowych. Właśnie tam znajduje się obecnie jedna z najważniejszych płaszczyzn walki z nowoczesnym phishingiem.