Microsoft slår mot bedragarna bakom en miljard bluff-sms

Ett bluff-sms om ett paket eller ett låst bankkonto kan se ut som något en enskild bedragare har satt ihop. Bakom kulisserna kan infrastrukturen däremot fungera mer som en välorganiserad e-handel.

Microsoft har tillsammans med organisationen Health-ISAC gått till domstol mot YAM Store och delar av ett större kineskspråkigt ekosystem för nätbedrägerier. Där kunde kriminella köpa falska eller kapade Microsoft- och Google-konton, domäner, färdiga nätfiskesidor och tusentals mallar för att imitera banker, myndigheter och företag.

Microsoft uppger att infrastrukturen bakom YAM Store, CoGUI och Iron Man sedan januari 2026 har möjliggjort mer än en miljard skadliga mejl och sms riktade mot över 75 000 organisationer världen över.

En nätbutik byggd för bedragare

YAM Store fungerade enligt Microsoft på många sätt som en vanlig webbutik.

Kunder kunde bläddra bland produkter, jämföra priser och köpa färdiga digitala miljöer. Skillnaden var att varorna bestod av exempelvis Microsoft 365- och Google-konton som hade skapats eller kommit över på otillåtna sätt.

Microsoft beskriver YAM Store som en så kallad initial access broker, alltså en aktör som skaffar åtkomst och infrastruktur och därefter säljer den vidare till andra kriminella.

I vissa fall letade operatörerna efter domännamn som tidigare hade tillhört riktiga organisationer men fått löpa ut. De gamla webbplatserna kunde sedan byggas upp på nytt för att få organisationerna att se aktiva ut och användas som stöd när nya molnkonton skapades.

Färdiga banksidor gick att köpa

YAM Store stod framför allt för infrastrukturen. CoGUI och Iron Man gjorde nästa steg enklare.

De erbjöd färdiga phishingverktyg som gjorde det möjligt att snabbt skapa webbplatser och meddelanden som såg ut att komma från legitima organisationer. Målet var att få offret att lämna ifrån sig lösenord, betalningsinformation eller andra känsliga uppgifter.

Microsoft beskriver CoGUI som en av de mest använda tjänsterna i ekosystemet, särskilt i attacker mot Japan och USA.

Under 2026 började ett nyare system, Iron Man, ta allt större plats. När Microsoft och säkerhetsföretaget Resecurity undersökte tjänsten hittade de över 2 300 färdiga mallar.

De imiterade bland annat banker, detaljhandlare, sjukvårdsorganisationer, transportföretag, polismyndigheter och andra offentliga verksamheter.

Över en miljard bluffmeddelanden

Microsoft kopplar de tre tjänsterna till mer än en miljard skadliga meddelanden sedan januari 2026.

Det betyder inte att YAM Store själv tryckte på en knapp och skickade samtliga meddelanden. Tjänsterna försåg i stället andra kriminella med infrastrukturen och verktygen som användes för kampanjerna.

Över 750 miljoner av meddelandena var riktade mot Microsoftkunder, enligt bolagets egna uppgifter. Kampanjerna ska sammanlagt ha riktats mot fler än 75 000 organisationer.

Microsoft har identifierat aktivitet i bland annat sjukvård, finans, grossisthandel och IT, med tydliga koncentrationer i Japan, USA, Australien och Indien.

Bluffarna nådde över 150 länder

Iron Mans färdiga mallar var anpassade efter företag och myndigheter i mer än 150 länder.

Det illustrerar varför färdiga phishingverktyg är så användbara för bedragare. En kriminell behöver inte själv kunna kopiera en banks webbplats, skapa fungerande inloggningsformulär eller bygga infrastrukturen som tar emot stulna uppgifter.

I stället kan mycket av arbetet köpas färdigt.

Mallar kan sedan anpassas efter språk, varumärke och land och kombineras med konton och domäner från andra delar av samma ekosystem.

Det sänker tröskeln för nätbedrägerier och gör det möjligt för mindre tekniskt avancerade kriminella att genomföra betydligt större kampanjer.

Microsoft köpte själv från butiken

Microsoft använde bland annat kontrollerade köp för att kartlägga verksamheten.

Utredarna kunde på det sättet bekräfta hur YAM Store fungerade och följa relationerna mellan marknadsplatsen och de olika phishingverktygen.

Undersökningen började efter att japansk polis under slutet av 2025 varnat Microsoft för bedrägerikampanjer riktade mot japanska användare.

Det som först såg ut som separata bluffkampanjer ledde så småningom till ett betydligt större ekosystem av konton, webbplatser, betalningar och verktyg.

Även Japan Cybercrime Control Center, Resecurity, Cloudflare, Oracle, Proofpoint och TRM Labs deltog med information under utredningen.

Domstolen gav Microsoft rätt att ta över domäner

Microsoft nöjde sig inte med att blockera meddelanden.

Tillsammans med Health-ISAC lämnade företaget in en civil stämningsansökan i den federala domstolen för Southern District of Florida.

Domstolen utfärdade därefter ett tillfälligt beslut som gör det möjligt att föra över eller stänga ned domäner som kopplats till infrastrukturen och förhindra att de ändras eller tas tillbaka utan nytt domstolsbeslut.

Microsoft och Health-ISAC har med stöd av beslutet tagit kontroll över och omdirigerat domäner som användes av YAM Store, CoGUI och Iron Man.

Läs mer: Ny gratistjänst avslöjar bluffen

20 000 konton har stängts

Microsoft uppger också att över 20 000 konton kopplade till YAM Store redan har stängts av.

Samtidigt blockerar bolaget mer än 100 000 domäner som har använts för att imitera legitima organisationer och genomföra bedrägerier.

Åtgärden innebär däremot inte att hela den bakomliggande cyberbrottsligheten har försvunnit.

Microsoft beskriver själv YAM Store, CoGUI och Iron Man som delar av ett betydligt större ekosystem. Målet med insatsen är i stället att slå mot leverantörerna som gör stora mängder bedrägerier enklare att genomföra.

Legitima Microsoftkonton blev en del av bluffen

En detalj är särskilt relevant för vanliga användare.

Bedragarnas mål var inte alltid att bygga infrastrukturen på uppenbart suspekta servrar. Tvärtom kunde ett riktigt Microsoft- eller Googlekonto göra meddelandet betydligt mer trovärdigt och hjälpa angriparen att ta sig förbi enkla spamfilter.

Microsoft beskriver exempelvis hur YAM Store kapade eller skapade miljöer i Microsoft 365 och Azure for Education och sedan sålde åtkomsten vidare.

I andra fall skapades falska organisationer med egna webbplatser och dokumentation för att få verksamheterna att se legitima ut. Microsoft bedömer att AI-genererat innehåll sannolikt användes i åtminstone ett sådant fall.

Det visar varför en bluff inte längre behöver komma från en suspekt domän med uppenbara stavfel.

Det räcker inte att titta på avsändaren

Den här typen av infrastruktur gör också klassiska råd om nätfiske svårare att följa.

Ett meddelande kan komma från ett konto hos en stor och legitim molntjänst. Den falska webbplatsen kan ligga på en domän som tidigare tillhört en riktig organisation. Själva sidan kan samtidigt vara byggd från en professionell mall som nästan exakt kopierar banken eller myndigheten som bedragaren försöker efterlikna.

Det gör innehållet och själva uppmaningen viktigare än bara avsändaradressen.

Oväntade krav på inloggning, betalning eller kontoverifiering bör kontrolleras genom att användaren själv öppnar företagets eller myndighetens officiella webbplats i stället för att följa länken i meddelandet.

Läs mer: Microsoft Teams har blivit ett verktyg för avancerade bedrägerier

Bedrägerier har blivit en tjänsteindustri

Det kanske viktigaste i Microsofts utredning är därför inte siffran en miljard.

Det är affärsmodellen bakom den.

En aktör skaffar konton och molninfrastruktur. En annan bygger färdiga falska webbplatser. En tredje tar fram mallar för en specifik bank eller myndighet. Därefter kan en kund köpa komponenterna och börja skicka bluffmeddelanden i stor skala.

På många sätt liknar modellen vanlig mjukvara som tjänst.

Skillnaden är att kunden inte köper ett bokföringssystem eller ett verktyg för marknadsföring.

Den köper infrastrukturen för nästa bedrägeri.