微软表示，已捣毁一个对10亿条恶意信息负有责任的犯罪交易市场。

在与多国执法机构以及多家科技和网络安全公司展开近一年的联合调查后，微软识别并关停了YAM Store——一个从事商业化钓鱼即服务（PhaaS）的有组织地下网络。

该网络让网络犯罪分子可以随时购买、并迅速部署现成的套件，用于实施钓鱼攻击，窃取数据和凭证。

微软称，这次行动最初只是基于日本执法机构提供的一条线索展开的简单调查。

"通过协同工作，并借助AI工具的帮助，我们串联起起初看似互不相关的账号、网站和基础设施，从而揭开了它们背后更大的犯罪交易市场，"微软数字犯罪部门副总法律顾问兼总经理史蒂文·正田（Steven Masada）在博客文章中写道。"一条看似简单的诈骗信息，往往是规模大得多的跨国网络犯罪活动的可见末端。"

钓鱼即服务市场持续演进

YAM Store及其内部出售的套件和工具，合计使超过10亿条信息得以发送至全球7.5万多家机构。其中7.5亿条以上仅发往微软客户，最终为犯罪运营者带来"数千万美元"收入。

对该市场的调查始于2025年底。当时日本国家警察厅（NPA）向微软通报，出现"一波针对日本民众和企业的欺诈与诈骗活动"。研究人员原本预计会发现若干独立的攻击活动，结果却发现了一个"规模庞大的中文网络犯罪交易市场"。调查随后扩展至全球，涉及多家其他执法机构，以及Resecurity、Cloudflare、Oracle、Proofpoint和TRM Labs等公司。

YAM Store充当初始访问代理（IAB），运作方式很像一个在线市场；只不过这里的"商品"是欺诈性的微软和谷歌账号，以及其他用于实施凭证窃取、数据窃取等诈骗的现成工具。客户可以浏览、比价并下单。可用工具按账号年限、订阅类型和环境类型（如.edu或.org站点）分类陈列。

在某些案例中，犯罪运营者能够注册正规机构已让其过期的互联网域名，然后将这些域名重建，使其看起来仍在活跃。他们瞄准特定行业（如非营利组织或教育机构），以欺诈手段获取Microsoft 365账号，随后通过YAM Store转售。

研究人员发现，YAM Store随着不同套件的出现而不断演进，并识别出三款流行的PhaaS套件：Iron Man System、CoGUI和Haozi。

Iron Man套件的模板工厂

较新的Iron Man系统在2026年年中崭露头角。它提供预制的诱饵页面，可捕获受害者提交的任何数据。这些诱饵站点假冒医疗机构、警察部门、政府机构、邮政和快递服务、收费与交通管理机构、税务机构、银行、电信运营商和零售商。通过测试性购买和情报工作，调查人员发现了超过2300个模板，冒充遍布150多个国家的机构。

Iron Man实际上扩展了PhaaS模式，让犯罪分子能够获取数以千计的现成模板，并按特定行业、语言和地区定制。正田指出，许多模板"利用官方权威的外观，迫使受害者付款或披露敏感个人信息。犯罪分子无需自行制作欺诈网站，就能快速部署用于窃取密码、支付信息和其他个人数据的页面"。

这些套件还配备了高级规避技术，例如地理围栏、伪造的CAPTCHA验证关卡、IP地址黑名单和白名单，以及反检测配置。

正田强调，某个机构或政府实体出现在模板列表中，并不意味着其系统已被入侵。

不过，微软威胁情报团队和微软数字犯罪部门的成员在博客文章中写道："这一生态的规模和扩散程度说明，唾手可得的犯罪基础设施如何降低了入行门槛，让技术能力较弱的网络犯罪分子也能大规模攻击机构，并推高欺诈损失。"

网络安全与身份加固

在几乎所有观察到的案例中，钓鱼诱饵都呈现出"教科书式的诈骗危险信号"：紧迫感和有时限的任务。

研究人员建议，用户应对常见钓鱼手法有基本认知，并在点击声称将带你前往登录页面的链接之前，始终向所称的发件方核实，即便该任务是登录一个已知且安全的账号。

除此之外，他们还表示，登录提示应清楚标明正在认证的是哪一个应用。研究人员指出，例如自2021年起，在微软Azure的交互中，用户登录时会被提示"取消"或"继续"，但钓鱼登录页面往往缺失这一环节。

加固凭证和云身份同样是抵御钓鱼攻击的必要手段；研究人员建议，第一步是在组织内推行passkey等无密码工具，以及多因素认证（MFA）。

"运用最小权限和零信任原则，可以显著拖慢那些可能已获得初始访问权限的威胁行为者，为防御方争取响应时间，"研究人员指出。这些措施尤其有助于锁死全局管理员角色。

他们还建议采取其他措施，包括使用Microsoft Authenticator应用实现passkey和MFA；将Microsoft Defender for Office 365的Safe Links策略配置为对内收件人同样生效；用条件访问策略补充MFA；以及只允许来自可信位置和设备的MFA与passkey注册。