Microsoft und Health-ISAC gehen gegen dreiteiligen Cybercrime-Marktplatz vor
Microsoft und die gemeinnützige Organisation Health-ISAC wollen drei Bausteine eines chinesischsprachigen Cybercrime-Marktplatzes zerschlagen: YAM Store, CoGUI und Iron Man. Laut Microsoft ermöglichten die Dienste seit Januar 2026 mehr als eine Milliarde bösartige Nachrichten.
- Microsoft und Health-ISAC zerschlagen YAM Store, CoGUI und Iron Man, Teile eines chinesischsprachigen Cybercrime-Marktplatzes.
- Laut Microsoft ermöglichten die Dienste seit Januar 2026 über eine Milliarde bösartige Nachrichten an mehr als 75.000 Organisationen.
- Ermittler identifizierten mehr als 2.300 Iron-Man-Vorlagen, die Organisationen in über 150 Ländern imitierten.
- Ein Gerichtsbeschluss aus Florida erlaubte die Beschlagnahmung von Domains; Microsoft deaktivierte über 20.000 YAM-Store-Konten und sperrt mehr als 100.000 Domains.
- Die Ermittlungen begannen, nachdem die japanische Nationale Polizeibehörde Microsoft Ende 2025 informiert hatte.
Von einer Betrugswelle in Japan zum globalen Marktplatz
Die Ermittlungen begannen Ende 2025, als die japanische Nationale Polizeibehörde (NPA) Microsoft auf bösartige Nachrichtenkampagnen gegen Menschen in Japan aufmerksam machte. Die Ermittler rechneten mit einzelnen Kampagnen. Stattdessen stießen sie nach Angaben von Microsoft auf einen weitverzweigten chinesischsprachigen Cybercrime-Marktplatz, auf dem Kriminelle Konten, Hosting-Dienste und Werkzeuge zum Aufbau gefälschter Websites und Online-Identitäten kaufen konnten.
An den Bemühungen beteiligten sich schließlich auch das Japan Cybercrime Control Center (JC3), Resecurity, Cloudflare, Oracle, Proofpoint und TRM Labs. Microsoft zufolge war das Ökosystem für Ermittler ohne Sprachkenntnisse nur schwer zu durchdringen. KI-Werkzeuge hätten dabei geholfen, Konten, Websites und Infrastruktur zu verknüpfen, die zunächst nichts miteinander zu tun zu haben schienen.
Microsoft erklärt, die drei Dienste hätten seit Januar 2026 zusammen mehr als eine Milliarde bösartige Nachrichten an über 75.000 Organisationen weltweit ermöglicht, darunter mehr als 750 Millionen Nachrichten an Microsoft-Kunden. Zu den Zielen zählten Verbraucher, Gesundheitseinrichtungen und Finanzinstitute in mehr als 150 Ländern. Laut Microsoft erwirtschaftete das Geschäft für die Betreiber zweistellige Millionenbeträge in US-Dollar.
So funktionierten YAM Store, CoGUI und Iron Man
YAM Store war wie ein Online-Shop aufgebaut. Kunden konnten Produkte durchstöbern, Preise vergleichen und gefälschte Microsoft- und Google-Konten sowie andere fertige Werkzeuge kaufen, darunter solche zum Diebstahl von Zugangsdaten. Kontrollierte Käufe durch Microsoft halfen, die Funktionsweise zu bestätigen. In einigen Fällen erwarben die Betreiber Internetdomains, die seriöse Organisationen hatten auslaufen lassen, teils gezielt aus Bereichen wie Non-Profit und Bildung. Sie bauten die Websites nach, damit diese Organisationen aktiv wirkten, und erschlichen so Microsoft-365-Konten, die sie später verkauften.
CoGUI lieferte fertige Websites und Nachrichten, die Unternehmen, Finanzinstitute, Behörden und andere vertrauenswürdige Organisationen imitierten. Kriminelle mussten betrügerische Seiten nicht selbst bauen und konnten schnell Seiten einsetzen, die Passwörter, Zahlungsinformationen und andere persönliche Daten abgreifen sollten. Microsoft zufolge wurde CoGUI zu einem der am häufigsten genutzten Angebote, vor allem gegen Opfer in Japan und den USA.
Iron Man löste CoGUI bis Mitte 2026 zunehmend ab. Der Dienst gab Kriminellen Zugriff auf Tausende Vorlagen für E-Mail-, SMS- und Webinhalte, zugeschnitten auf bestimmte Marken, Branchen und Länder. Durch Testkäufe und die Zusammenarbeit mit Resecurity identifizierten die Ermittler mehr als 2.300 Vorlagen, die Banken, Einzelhändler, Gesundheitsdienstleister, Verkehrsbehörden, Polizeidienststellen, Regierungsstellen und andere Organisationen in mehr als 150 Ländern imitierten. Microsoft betont, dass das Auftauchen einer Organisation in diesen Vorlagen nicht bedeutet, dass ihre Systeme kompromittiert wurden.
Rechtliche Schritte und Abschaltungen
Auf Grundlage einer Anordnung des US-Bezirksgerichts für den Southern District of Florida beschlagnahmten Microsoft und Health-ISAC Domains, die Teil der Infrastruktur hinter YAM Store, CoGUI und Iron Man waren, und leiteten sie um.
Microsoft gibt an, bereits mehr als 20.000 mit YAM Store verbundene Konten deaktiviert zu haben. Das Unternehmen zerlegt die Operation weiter, indem es auf seinen Diensten gehostete Infrastruktur entfernt und mehr als 100.000 für Imitation und Betrug genutzte Domains sperrt. Zudem gab es Erkenntnisse an den US Secret Service und internationale Strafverfolgungspartner weiter.
Health-ISAC steuerte Einblicke in die Auswirkungen auf Gesundheitseinrichtungen bei, JC3 half, das Ausmaß der Aktivitäten gegen japanische Organisationen zu bestimmen, und die NPA unterstützte durchgehend mit Erkenntnissen und Ermittlungsarbeit.
Was das bedeutet
Microsoft beschreibt die drei Dienste nur als Teil eines größeren kriminellen Netzwerks. Das Argument des Unternehmens: Wer die Zulieferer stört, erschwert Kriminellen den Zugang zu Konten, Werkzeugen und Infrastruktur, auf die sie angewiesen sind, statt nur einzelnen Betrugsnachrichten hinterherzujagen. Der Fall passe zu einem Trend, den der diesjährige Microsoft Digital Defense Report beschreibt: Moderner Betrug stützt sich zunehmend auf Unternehmen und Dienste, die Kriminellen helfen, mehr Opfer zu erreichen.
Microsoft zufolge zeigte der Fall zudem den Wert eines wechselseitigen Informationsaustauschs über Branchen und Grenzen hinweg. Ein separater Blogbeitrag von Microsoft Threat Intelligence enthält weitere Details zum Netzwerk und zu Schutzmaßnahmen für Kunden.
