O operațiune globală de aplicare a legii a destructurat o rețea de crimă cibernetică responsabilă pentru peste un miliard de mesaje rău-intenționate, care vizau mai mult de 75.000 de organizații din 150 de țări. Autoritățile au sechestrat domenii, au dezactivat peste 20.000 de conturi și au blocat 100.000 de domenii folosite pentru impersonare și fraudă, potrivit BleepingComputer.

Ce s-a întâmplat, pe scurt

Ancheta a pornit de la Microsoft și de la Agenția Națională de Poliție din Japonia, care au investigat un val de activitate frauduloasă. Investigația a dus la descoperirea unei piețe de crimă cibernetică în limba chineză, care oferea instrumente și servicii pentru campanii de phishing.

Investigatorii au trasat activitatea până la YAM Store (cunoscut și ca Storm-3119), o infrastructură subterană de tip marketplace. De acolo, legătura ducea spre kiturile de phishing CoGUI, Haozi și Iron Man System, grupate sub numele Storm-2990.

Microsoft spune că YAM Store vindea medii Microsoft și Google compromise sau obținute fraudulos, conturi, licențe și spațiu de stocare. Operatorii achiziționau domenii expirate ale unor organizații reale, reconstruiau site-uri pentru ca entități defuncte să pară active, apoi foloseau acele identități pentru a obține conturi cloud. O altă metodă observată era generarea de organizații false, cu tot cu conținut și documentație, folosind instrumente AI.

În mediile Microsoft compromise, operatorii foloseau credențiale de aplicație furate pentru a gestiona conturi și licențe și abuzau de stocarea SharePoint și OneDrive pentru găzduire. Datele din anchetă arată că peste 750 de milioane de mesaje rău-intenționate au vizat clienții Microsoft 365, multe dintre ele folosind phishing prin cod de dispozitiv pentru a obține tokenuri de autentificare.

Kiturile de phishing: geofencing, CAPTCHA fals și mii de șabloane

Kiturile ofereau criminalilor o gamă largă de momeli: amenzi de circulație neplătite, penalizări de trafic, probleme de livrare și cereri de verificare a contului. Suportau geofencing, porți CAPTCHA false, filtrare de IP și alte măsuri menite să îngreuneze analiza de securitate.

CoGUI viza victime din Statele Unite și Japonia, dar Iron Man, care oferă peste 2.300 de șabloane ce imită bănci, retaileri, servicii de livrare și agenții guvernamentale, l-a împins în plan secund până la mijlocul lui 2026. Compania de securitate Resecurity a participat la anchetă și a analizat infrastructura expusă, inclusiv un registru Git/container public cu 911 build-uri publicate și opt conturi înregistrate. Cercetătorii au identificat și un subsistem de selecție a produselor legat de capturarea datelor de card, cu 2.360 de pachete de phishing catalogate în 130 de țări, cu actualizări până la 1 octombrie 2026.

Merită subliniat un detaliu care spune multe despre maturitatea acestei industrii: cifrele nu sunt estimări vagi, sunt inventare de produs. Când un kit de phishing are catalog, versiuni și update-uri indexate, nu mai vorbim despre hoți ocazionali. Vorbim despre un business cu procese, cu suport și cu cicluri de release.

De ce contează pentru securitatea IMM-urilor

În 2024, Proofpoint identifica în campaniile de email țintirea constantă a Japoniei, asociată cu kitul CoGUI. Activitatea se concentra pe furtul de credențiale și de date de plată, prin impersonarea unor companii japoneze cunoscute sau a unor organizații internaționale. Investigații ulterioare au arătat că mai mult de 17.000 de domenii erau folosite de trei kituri: CoGUI, CoAceV și CoFish_Ws. Cercetătorii au descris operațiunea ca fiind dinamică și suficient de bine dotată încât să cumpere și să administreze infrastructură de phishing la scară largă.

Sub ordinul Tribunalului Districtual al Statelor Unite pentru Districtul de Sud al Floridei, Microsoft și Health-ISAC au sechestrat și redirecționat domeniile care susțineau YAM Store, CoGUI și Iron Man. Microsoft a dezactivat peste 20.000 de conturi asociate cu YAM Store și a blocat 100.000 de domenii folosite pentru impersonare și fraudă. În prezent, mai multă infrastructură este în curs de eliminare, pe baza concluziilor anchetei la care participă și autoritățile japoneze, JC3, Resecurity, Cloudflare, Oracle, Proofpoint și TRM Labs.

Aici e punctul pe care mulți antreprenori îl ratează: un takedown nu închide problema, mută problema. Infrastructura se reconstruiește în săptămâni, nu în ani. Ce se schimbă, de fapt, este costul de operare pentru atacatori, și acesta e câștigul real al unei astfel de acțiuni.

Ce înseamnă pentru tine, ca antreprenor sau marketer român

Dacă ai un magazin online, un business de servicii sau o agenție, nu ești o țintă prea mică. Tocmai modelul industrializat descris mai sus face ca volumul să conteze mai mult decât selecția. Kiturile cu geofencing și filtrare de IP pot decide singure ce țară și ce rețea să lovească. Asta înseamnă că România nu e protejată de nimic în afară de cât de bine arată propriul tău cont.

Aspectele practice pe care le-aș pune pe lista de verificat, ca recomandări ale noastre și nu ca fapte din anchetă:

Un punct important de igienă analitică: un audit automat nu dovedește că un cont a fost compromis și nici că ai pierdut bani. Un astfel de instrument semnalează doar indicii, care trebuie verificate manual, în contextul contului tău. Dacă probele sunt insuficiente, concluzia corectă este „de verificat”, nu „problemă rezolvată” sau „atac confirmat”.

Legătura cu restul lanțului tău de marketing

Securitatea nu trăiește separat de restul operațiunii. Când discuți despre analytics și despre cum măsori decizia de cumpărare, trebuie să iei în calcul și sursele de trafic compromise. Un cont de reclame spart poate genera trafic fals care contaminează datele pentru luni de zile. La fel, când lucrezi cu funcții de automatizare care leagă datele de decizii, accesul la acele date devine un activ de securitate, nu doar un tool de marketing.

Recomandarea noastră este să tratezi accesul la platformele de marketing ca pe accesul la un cont bancar. Aceleași reguli: cine intră, de unde, cu ce dispozitiv și de ce are nevoie.

Mini-FAQ

Este România vizată de această rețea de phishing? Ancheta menționează victime în 150 de țări și 75.000 de organizații, iar kiturile includeau geofencing și filtrare de IP. Materialul verificat nu oferă o defalcare publică pe România. Dacă vrei să știi dacă ai fost vizat, verifică propriile loguri de acces și emailuri, nu presupune.

A oprirea rețelei înseamnă că riscul a dispărut? Nu. Microsoft spune că mai multă infrastructură este în curs de eliminare, ceea ce arată că acțiunea continuă. Modelul de business descris, cu marketplace de conturi compromise, kituri de phishing și șabloane actualizate constant, se poate relansa pe altă infrastructură.

Ce pot face concret, cu resurse mici, într-o firmă mică? Pornește cu inventarul acceselor, activarea autentificării puternice acolo unde se poate și educarea echipei să recunoască fluxuri de autentificare neobișnuite. Apoi cere dovezi, nu impresii: verifică logurile și discută cu cineva care poate interpreta semnalele în contextul contului tău.

AI-ul ajută, dar decizia rămâne umană

Un instrument AI poate sorta mii de loguri, poate semnala tipare de acces suspect și poate accelera triajul. Ce nu poate face este să decidă în locul tău dacă un cont compromis afectează campaniile active, ce oprești primul și cum comunici cu clientul. Analiza poate fi asistată, decizia și execuția rămân ale media buyer-ului și ale omului care răspunde de business.

Pasul concret, înainte să te panichezi sau să ignori subiectul, este un audit de acces și de infrastructură. La ALLSoft Agency pornim de la ce ai în cont și de la ce se vede în loguri, nu de la presupuneri.