Microsoft und Japan zerschlagen Cybercrime-Netzwerk: 20.000 Konten deaktiviert
Veröffentlicht am: 15.10.2026 um 10:06 Uhr | Redaktion boerse-global.de
Gemeinsam mit der nationalen Polizeibehörde Japans hat Microsoft ein weitreichendes Cybercrime-Netzwerk zerschlagen. Im Zuge des koordinierten Vorgehens wurden mehr als 20.000 Konten eines kriminellen Marktplatzes deaktiviert, über den zuvor mehr als eine Milliarde betrügerische Scam-Nachrichten versendet worden waren.
Die Operation richtete sich gegen die Dienste YAM Store, CoGUI und Iron Man. Grundlage für den Zugriff auf die Infrastruktur war ein Beschluss des US-Bundesgerichts für den Southern District of Florida vom 7. Oktober 2026, der den Ermittlern die Kontrolle über die entsprechenden Webadressen zusprach.
In der Folge beschlagnahmte Microsoft die Domains der drei Dienste oder leitete diese um. Parallel dazu wurden über 100.000 Phishing-Domains blockiert.
Globale Reichweite und Millionenerlöse
Nach Angaben von Microsoft zielten die kriminellen Aktivitäten auf Opfer in über 150 Ländern ab, wobei die Schwerpunkte vorwiegend in Japan und den USA lagen. Zu den betroffenen Branchen zählten insbesondere das Gesundheitswesen, Finanzdienstleistungen, der Großhandel, die Logistik sowie die IT-Industrie. Nach Erkenntnissen des Softwarekonzerns erzielten die Betreiber der Plattformen Erlöse im zweistelligen Millionen-Dollar-Bereich.
Wer sich vor den immer raffinierteren Methoden der Cyberkriminellen schützen möchte, findet in diesem neuen Gratis-Report eine moderne Alternative zu klassischen Passwörtern. Erfahren Sie, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sofort einrichten und Hackern keine Chance mehr lassen. Kostenlosen Report zu Passkeys jetzt anfordern
Der Dienst YAM Store, intern auch unter der Bezeichnung Storm-3119 geführt, agierte dabei als sogenannter Initial Access Broker. Die Gruppe handelte mit Zugängen zu kompromittierten Cloud-Umgebungen von Microsoft und Google, darunter auch M365- und Azure-for-Education-Tenants. Zahlungen wickelten die Kriminellen über Alipay, WeChat Pay und die Kryptowährung USDT auf der TRC20-Blockchain ab.
Für Phishing-Angriffe stand mit Iron Man ein weiteres Werkzeug bereit. Microsoft zählte für dieses Kit über 2.335 Templates, ausgelegt auf mehr als 139 Länder. Das Sicherheitsunternehmen Resecurity erfasste 2.360 Templates für 130 Länder, wobei die jüngste Vorlage vom 1. Oktober 2026 stammte.
Fokus auf japanische Organisationen
Auswertungen des IT-Sicherheitsanbieters Proofpoint belegen, dass der Dienst CoGUI vor allem japanische Organisationen ins Visier nahm. Monatlich wurden über 100 Millionen betrügerische E-Mails dieses Netzwerks abgefangen.
Proofpoint identifizierte für CoGUI 1.081 Kampagnen mit 13.586 Domains, für die Variante CoAceV 242 Kampagnen mit 2.812 Domains und für CoFish_Ws 19 Kampagnen mit 191 Domains – zusammen rund 17.000 einzigartige Domains.
Die Angreifer ahmten dabei 66 zumeist japanische Marken nach, darunter Amazon, PayPay, MyJCB, Apple, Rakuten, SMBC, DHL und Yamato. Hauptbetroffen waren auch hier Institutionen aus den Finanzdienstleistungen und dem Gesundheitssektor. Technisch setzten die Werkzeuge auf Geofencing, gefälschte Sicherheitsabfragen über Fake-CAPTCHA sowie IP-Blocklisten, um Analysen von Sicherheitsforschern zu erschweren.
Angesichts von Millionen gehackter Konten pro Quartal ist der Verzicht auf unsichere Passwörter ein entscheidender Schritt für die eigene digitale Sicherheit. Dieser kostenlose Ratgeber zeigt, wie das Einloggen per Fingerabdruck oder Gesichtserkennung sicher, schnell und stressfrei funktioniert. Hier die Anleitung für passwortloses Einloggen gratis sichern
Kooperation internationaler Partner
Die Ermittlungen nahmen ihren Anfang Ende 2025 nach einem Hinweis der japanischen Polizeibehörde. Die Digital Crimes Unit von Microsoft störte in der Folge die Infrastruktur und ging gegen den primären Entwickler vor.
Steven Masada, Assistant General Counsel der Microsoft DCU, äußerte sich öffentlich zum Erfolg der Zerschlagung. An dem Einsatz beteiligten sich neben japanischen Behörden und dem Cyberdefense-Zentrum JC3 auch Organisationen wie Health-ISAC sowie die Unternehmen Cloudflare, Oracle, Proofpoint, Resecurity und TRM Labs.
Microsoft war in der Vergangenheit bereits gegen andere kriminelle Infrastrukturen wie EvilTokens, SocGholish/Amadey/StealC, RaccoonO365 sowie RedVDS vorgegangen. Zur Abwehr künftiger Phishing-Angriffe empfahl das Unternehmen den Einsatz von Passkeys, Multifaktor-Authentifizierung, restriktive Rechtevergaben nach dem Least-Privilege-Prinzip sowie umfassende Zero-Trust-Architekturen.
