微软联手日本警方 拆解10亿条诈骗短信幕后黑市

那些关于停车罚单、包裹异常的诈骗短信和邮件，或许很快会变少。微软本周宣布，联合日本警察厅、医疗网安共享与分析中心 Health-ISAC 以及 Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labs 等多家安全机构，依据佛罗里达州联邦法院命令，查获并接管了支撑全球大规模诈骗活动的三大钓鱼平台——YAM Store、CoGUI 和 Iron Man——的核心域名。

规模相当惊人：自2026年1月以来，这三个平台合计支撑发出了超过10亿条恶意邮件和短信，攻击了全球150多个国家和地区的7.5万多家组织，其中仅针对微软客户的就超过7.5亿条，受害者涵盖普通消费者、医疗机构、金融机构等。运营者借此获利数千万美元，并通过 USDT、以太坊等加密货币收款。

调查要追溯到2025年底。当时日本警察厅通报国内密集出现的诈骗短信，微软循线追查，最终揭出一个完整的中文网络犯罪“服务经济”：YAM Store 充当入口中介黑市（微软代号 Storm-3119），专门倒卖通过入侵或欺诈手段获取的微软 365 和谷歌云环境账号，教育、非营利等类型的租户尤其受青睐；而 CoGUI、Haozi、Iron Man 则是在该市场上售卖的钓鱼工具包（代号 Storm-2990），微软判断其开发者要么同源、要么有密切协作。

三个工具包中，CoGUI 起家最早，长期主攻日本市场，仿冒亚马逊、PayPay、JCB 等知名品牌；2026年年中起，功能更强大的 Iron Man 逐渐取而代之。Iron Man 提供超过2300套仿冒页面模板，覆盖139个国家，其中美国模板最多，多为交通罚单、税务、银行等政府与金融机构主题。它不只是静态页面，还是可实时交互的凭证收割平台，能监控受害者并诱导其输入一次性验证码，从而绕过多因素认证。

本轮行动中，微软已禁用2万多个相关账户，并正在封锁超10万个用于仿冒和欺诈的域名。安全公司 Resecurity 还专门购买了 Iron Man 的许可证，在隔离环境中试运行，发现其模板必须定期联络卖方的授权服务器才能正常工作——这意味着防御方一旦掐断授权主机，全球所有在用部署都可能瘫痪，是一张难得的“底牌”。

值得一提的是，这已是微软近期多次动用法律武器打击钓鱼黑产中的最新一例：上个月它刚借法院授权关停了 AI 钓鱼平台 EvilTokens，并配合英国警方抓捕了幕后人员。对普通用户的启示很直接：收到“罚单”“快递理赔”类短信时，别点链接，走官方渠道核实。

编译自 The Verge，原标题：“Microsoft and Japan took down a cybercrime network behind over a billion scam messages”