Microsoft en Health-ISAC ondernemen juridische stappen tegen een Chineestalige criminele marktplaats. Die is sinds januari dit jaar verantwoordelijk achter meer dan een miljard phishingberichten, gericht op ruim 75.000 organisaties. Een van de nagebootste organisaties is de Nederlandse Belastingdienst.
De Digital Crimes Unit (DCU) van Microsoft heeft daarover een uitgebreide blogpost gepubliceerd. Het gaat niet om één phishingcampagne. Het gaat om de diensten waar criminelen hun campagnes kant-en-klaar inkopen. Het gaat dan onder andere om accounts, hosting en tools om nepwebsites en -berichten te bouwen. Volgens Microsoft brachten die diensten hun beheerders tientallen miljoenen dollars op.
Sinds januari 2026 maakten aanbieders YAM Store, CoGUI en Iron Man samen meer dan een miljard kwaadaardige berichten mogelijk. Meer dan 750 miljoen daarvan waren gericht op klanten van Microsoft. Slachtoffers zijn te vinden in meer dan 150 landen en het gaat om een combinatie van consumenten, maar ook zorginstellingen, financiële instellingen en andere bedrijven.
Het onderzoek begon eind 2025. De Japanse National Police Agency (NPA) waarschuwde Microsoft toen voor phishingcampagnes die op Japanse burgers gericht waren. Verwacht werd dat het zou gaan om losse campagnes, maar de onderzoekers kwamen uit bij de omvangrijke Chineestalige marktplaats. Volgens Microsoft was die voor onderzoekers die de taal niet als moedertaal spreken lastig te doorgronden.
Een webwinkel voor oplichters
YAM Store werkte volgens Microsoft grotendeels als een gewone webshop. Kopers konden producten bekijken, prijzen vergelijken en frauduleuze Microsoft- en Google-accounts aanschaffen. Microsoft deed zelf gecontroleerde aankopen om na te gaan hoe de winkel werkte. De beheerders kochten soms domeinen op die legitieme organisaties hadden laten verlopen, vaak van non-profits en onderwijsinstellingen. Ze bouwden die websites opnieuw op, zodat de organisaties nog actief leken. Zo konden ze Microsoft 365-accounts aanmaken en die vervolgens doorverkopen.
Lees ook: Criminelen steken miljoenen in verlopen domeinnamen
Die accounts en infrastructuur werden vaak gecombineerd met CoGUI. Die dienst leverde kant-en-klare websites en berichten waarmee criminelen zich voordeden als bedrijven, banken en overheden. Een voorbeeld is een nagemaakte Amazon-pagina die inloggegevens en betaalgegevens van Japanstalige gebruikers moest stelen. CoGUI richtte zich vooral op slachtoffers in Japan en de Verenigde Staten.
Halverwege 2026 werd CoGUI steeds vaker vervangen door een nieuwere dienst: Iron Man. Via testaankopen en samen met beveiligingsbedrijf Resecurity kregen onderzoekers toegang tot die dienst. Ze vonden meer dan 2.300 templates voor e-mail, sms en websites. Daarmee werden banken, retailers, zorgaanbieders, pakketdiensten, politiekorpsen en overheidsinstanties nagebootst. Ook een Nederlandse pagina voor het aanvragen van belastingteruggave zat ertussen. Microsoft benadrukt dat het opduiken van een organisatie in de templates niet betekent dat haar systemen zijn gehackt.
Domeinen in beslag genomen
Microsoft en Health-ISAC, een non-profit die dreigingsinformatie deelt binnen de zorgsector, kregen een gerechtelijk bevel van een federale rechtbank in het zuiden van Florida. Daarmee namen ze domeinen in beslag die de infrastructuur van de drie diensten vormden, en leidden die om. Daarnaast schakelde Microsoft meer dan 20.000 accounts uit die aan YAM Store gekoppeld waren. Het bedrijf blokkeerde verder meer dan 100.000 domeinen die voor imitatie en fraude worden gebruikt.
Aan het onderzoek werkten ook het Japan Cybercrime Control Center (JC3), Cloudflare, Oracle, Proofpoint en TRM Labs mee. Volgens Microsoft werden daarbij AI-tools ingezet om accounts, websites en infrastructuur met elkaar in verband te brengen die eerst los van elkaar leken te staan. Microsoft deelde informatie met de U.S. Secret Service en internationale opsporingsdiensten.
Het is niet de eerste keer dat de DCU zich op leveranciers van phishingtools richt. In september 2025 nam Microsoft samen met Cloudflare 338 websites in beslag van RaccoonO365. Die phishing-as-a-servicedienst zou sinds juli 2024 minstens 5.000 Microsoft 365-inloggegevens in 94 landen hebben buitgemaakt. Ook phishingdienst Tycoon 2FA werd met internationale partners uit de lucht gehaald. Daarbij gingen 330 domeinen offline. Die dienst kon multifactorauthenticatie omzeilen door inloggegevens en authenticatiereacties te onderscheppen.
Volgens Microsoft zijn YAM Store, CoGUI en Iron Man maar een deel van het grotere criminele netwerk. Steven Masada, General Manager van de Digital Crimes Unit, vat de aanpak samen: “Het oplichtingsbericht is vaak het enige wat slachtoffers zien. De bedrijven erachter maken het mogelijk.” Microsoft Threat Intelligence heeft daarnaast ook een apart technisch onderzoek gepubliceerd met meer details over het netwerk en stappen waarmee klanten zich kunnen beschermen.