Microsoft, bir milyar oltalama mesajının arkasındaki Çince suç pazarını çökertti

Microsoft ve sağlık sektörünün tehdit istihbaratı paylaşım merkezi Health-ISAC, Çince konuşan siber suçlulara hizmet veren bir pazarın üç bileşenine ait alan adlarına el koyarak bunları yönlendirdi. SecurityWeek'in 14 Ekim 2026'da aktardığına göre operasyon, YAM Store pazarını ve CoGUI ile Iron Man oltalama kitlerini hedef aldı ve ABD Florida Güney Bölgesi Federal Mahkemesi'nin kararına dayanıyor. Bu servislerin Ocak 2026'dan bu yana bir milyardan fazla zararlı mesaj gönderilmesinde kullanıldığı belirtiliyor.

Neler oldu?

SecurityWeek'in haberine göre üç servis, bireysel kullanıcıların yanı sıra 150'den fazla ülkede 75 binden fazla kurumu hedef aldı; mesajların 750 milyondan fazlası Microsoft müşterilerine yönelikti. Operatörlerin on milyonlarca dolar kazandığı bildiriliyor. Altyapı sıklıkla hastaneleri ve sağlık kuruluşlarını hedef almak için kullanıldığından Health-ISAC da hukuk davasına taraf oldu.

Microsoft, operasyon kapsamında YAM Store ile bağlantılı 20 binden fazla hesabı devre dışı bıraktığını ve kimlik taklidi ile dolandırıcılıkta kullanılan 100 binden fazla alan adını engellediğini açıkladı.

Soruşturma, Japonya Ulusal Polis Ajansı'nın 2025 sonunda Japonya'daki kişileri hedef alan zararlı mesaj kampanyaları konusunda Microsoft'u uyarmasıyla başladı. Habere göre daha sonra Resecurity, Cloudflare, Oracle, Proofpoint ve TRM Labs ile ABD ve uluslararası kolluk birimleri de çalışmaya katıldı.

Teknik detaylar

Microsoft, YAM Store'u Storm-3119 adıyla takip ediyor ve onu Microsoft 365 ile Azure for Education kiracılarını ele geçirip hesapları, lisansları ve depolama alanını başka suç gruplarına yeniden satan bir erişim simsarı olarak tanımlıyor. Alıcıların altyapıyı hesap yaşı, abonelik türü ve eğitim ya da kâr amacı gütmeyen kuruluş gibi ortam türüne göre seçebildiği aktarılıyor. Pazarda Microsoft ve Google'da ele geçirilmiş ya da hileyle edinilmiş ortamlar üzerine kurulu altyapı da satılıyordu.

YAM Store ayrıca CoGUI, Haozi ve Iron Man adlı oltalama kitlerini satıyordu. Microsoft bunları Storm-2990 olarak izliyor ve yüksek güvenle Çince konuşan aktörler tarafından geliştirildiğini değerlendiriyor. Japonya ve ABD'deki kurbanlara karşı yoğun biçimde kullanılan CoGUI'nin yerini 2026 ortasından itibaren Haziran 2026'da tanıtılan Iron Man almaya başladı. Microsoft, Iron Man'de 139'dan fazla ülke için 2.335'i aşkın şablon saydı; ABD'ye yönelik tuzakların çoğu trafik ve otopark ücreti kurumları gibi ulaşım ve kamu kuruluşlarını taklit ediyordu.

Iron Man lisansı satın alıp yalıtılmış bir laboratuvarda test eden Resecurity, 130 ülke ve bölgeyi kapsayan 2.360 şablon tespit etti; en yenisi 1 Ekim'de eklenmişti. Kitler, operatörlerin kurbanı gerçek zamanlı izleyip tek kullanımlık doğrulama kodu istemesine imkân veren canlı kimlik bilgisi toplama özelliği sunuyor. Resecurity'ye göre kit, satıcının lisans sunucusuyla düzenli iletişim kurmak zorunda; bu sunucunun kapatılması tüm aktif kurulumları zayıflatacak.

Kimler etkileniyor?

Kampanyalar dünya genelinde hem bireyleri hem kurumları hedef aldı; tuzaklar otoyol, otopark, kargo ve devlet hizmetlerini taklit eden mesajlar şeklindeydi. Microsoft Dijital Suçlar Birimi genel müdürü Steven Masada, bu üç servisin daha büyük bir suç ağının yalnızca bir parçası olduğunu söyledi; bu da benzer faaliyetlerin sürebileceğine işaret ediyor.

Ne yapmalı?

Özellikle eğitim, kâr amacı gütmeyen ve sağlık sektörlerindeki kurumlar, Microsoft 365 ve Azure kiracılarında tanımadıkları hesapları, beklenmeyen lisans atamalarını ve olağan dışı giden e-posta hacmini gözden geçirmeli. Oltalamaya dayanıklı çok faktörlü kimlik doğrulama, tek kullanımlık kodları anlık olarak aktaran kitlerin etkisini azaltır. Kullanıcılar ödenmemiş geçiş ücreti, ceza veya kargo bedeli içeren beklenmedik mesajlara şüpheyle yaklaşmalı ve bu hizmetlere yalnızca resmi uygulamalar ya da elle yazılan adresler üzerinden erişmeli.