Microsoft lukker phishing-marked bag over én milliard beskeder

Den 14. oktober 2026 oplyste Microsoft, at selskabet og Health-ISAC havde overtaget og omdirigeret domæner bag YAM Store, CoGUI og Iron Man, som siden januar 2026 havde muliggjort over én milliard skadelige beskeder rettet mod mere end 75.000 organisationer i over 150 lande. Indgrebet afbryder adresser, som svindlere brugte til at skaffe konti og drive falske sider. Beskeder, der allerede er sendt, forsvinder ikke fra modtagernes indbakker.

Ifølge SecurityWeek skete domæneovertagelsen efter en kendelse fra en føderal domstol i det sydlige Florida; Microsoft havde desuden deaktiveret over 20.000 konti knyttet til YAM Store og blokeret over 100.000 domæner brugt til efterligning og svindel. Undersøgelsen begyndte med svindelkampagner mod mennesker og virksomheder i Japan, som Japans nationale politi gjorde Microsoft opmærksom på. Det, efterforskerne fandt, var en forsyningskæde, hvor forskellige udbydere solgte adgangen, infrastrukturen og de færdige lokkemidler.

Fra stjålet cloudkonto til falsk besked

YAM Store fungerede som mellemhandler for konti og cloudmiljøer, som andre aktører kunne bruge i deres kampagner. Købere kunne få adgang til kompromitterede eller svigagtigt oprettede Microsoft- og Google-miljøer samt konti, licenser og lagerplads. Det gav svindlerne mere end en falsk webside: De fik ressourcer til at oprette og udsende henvendelser fra miljøer, der ved første øjekast kunne ligne almindelige organisationers.

En del af forsyningen kom fra domæner, som rigtige organisationer tidligere havde ejet, men ladet udløbe. Operatørerne genopbyggede hjemmesiderne, så organisationerne så aktive ud, og brugte identiteterne til at skaffe Microsoft 365-konti til videresalg. I andre tilfælde overtog de eksisterende cloudmiljøer og udnyttede privilegeret adgang til at ændre konti og bruge tilknyttet lagerplads. Derfor er et velkendt organisationsnavn i en afsenderadresse eller på en side ikke i sig selv bevis for, at den aktuelle ejer er den forventede.

CoGUI leverede færdige beskeder og sider, der efterlignede blandt andet virksomheder, banker og myndigheder. Iron Man udvidede udvalget: I Microsofts tekniske analyse opgøres sættet til over 2.335 skabeloner rettet mod over 139 lande; Iron Man blev markedsført gennem YAM Store fra juni 2026. Skabelonerne omfattede blandt andet transport, sundhed, detailhandel og offentlige myndigheder. At en organisation blev efterlignet i kataloget, betyder ikke, at dens egne systemer var kompromitteret.

Værktøjerne kunne tilpasse en lokkeside til landet og den organisation, beskeden foregav at komme fra. Nogle installationer begrænsede, hvem der kunne åbne siden, efter geografisk placering eller IP-adresse, hvilket også kunne gøre undersøgelse vanskeligere. Når en modtager indtastede loginoplysninger eller kortdata, kunne operatøren få besked med det samme og fortsætte forløbet med en anmodning om en bekræftelseskode. Andre kampagner udnyttede godkendelse med enhedskode til at få adgang til en konto via et reelt loginforløb.

Hvad domæneindgrebet stopper

I den offentlige retsmeddelelse står Microsoft og Health-ISAC som sagsøgere mod Yang Jian, der angives at drive YAM Store, samt øvrige ukendte sagsøgte. Microsoft har fået et midlertidigt retsligt påbud, som kan flytte de berørte domæner til selskabets kontrol eller deaktivere dem og bevare indholdet, mens sagen behandles. Sagsøgerne søger også et foreløbigt forbud og senere en endelig afgørelse. Den gennemførte overtagelse af domænerne er altså konkret, mens retssagen fortsætter.

Kontrol over et domæne kan afskære adgang til en markedsplads, en falsk side eller en tjeneste, som dens kunder er afhængige af. Et særskilt teknisk svagt punkt findes i Iron Mans licenssystem. I Resecuritys laboratorieanalyse, der byggede på en købt licens, talte forskerne 2.360 skabelonpakker for 130 lande og områder og beskrev afhængigheden med ordene »the panel cannot operate without regular contact with vendor infrastructure«.

Microsofts tal gælder identificerede skabeloner og lande i deres analyse, mens Resecurity tæller pakker og målområder i sit katalogudtræk; opgørelserne beskriver derfor ikke helt samme samling. Licensafhængigheden betyder, at et indgreb mod den centrale godkendelsesserver kan påvirke flere installationer på én gang. Den offentliggjorte laboratorietest viser dog ikke, hvor mange aktive kopier der faktisk mistede forbindelsen ved domæneovertagelsen.

Domæner, som operatørerne ikke længere styrer, kan ikke blot bruges videre på samme adresse. Stjålne adgangsoplysninger, kortdata og allerede overtagne konti kræver derimod særskilt håndtering. Købere af sådanne værktøjer kan også oprette nye adresser eller skifte udbyder. Den risiko er særlig relevant for en besked, som blev leveret før indgrebet, men først bliver åbnet bagefter.

Tegn i beskederne, som stadig kræver reaktion

De kortlagte kampagner brugte blandt andet påståede leveringsproblemer, ubetalte vejafgifter og krav om ny kontogodkendelse. De fælles træk er en hastende opfordring, et link til en side, der ligner en kendt tjeneste, og en anmodning om login, kode eller betaling. For en dansk modtager er det afgørende at kontrollere den konkrete adresse og anmodning; de offentliggjorte omfangstal giver ikke et særskilt tal for Danmark.

Domænevariationer: Se på hele webadressen, også delen efter det sidste punktum før en eventuel skråstreg. Et kendt navn kan stå i et underdomæne eller i sidens grafik, selv om selve domænet tilhører en anden. Gå til tjenesten via en adresse, du selv indtaster, hvis beskeden kræver login eller betaling.
Loginvarsler: En uventet anmodning om adgangskode, engangskode eller godkendelse i en app fortjener særlig opmærksomhed, når den ledsages af en kort frist. Afvis en godkendelse, du ikke selv har startet, og spørg den påståede afsender via dens sædvanlige kanal. En side kan ligne den rigtige tjeneste, mens anmodningen stadig giver en anden adgang til kontoen.
Kompromitterede konti: Hvis oplysninger allerede er afgivet, bør den berørte konto sikres straks. En virksomhed bør undersøge usædvanlige login, nye privilegier, ændringer i tilknyttede apps og aktivitet i cloudlageret; et nyt kodeord alene kan være utilstrækkeligt, hvis uvedkommende også har fået adgang gennem en app eller et aktivt login. Privatpersoner bør kontakte tjenesten eller banken efter, om de delte loginoplysninger eller betalingsdata.

En tilsyneladende troværdig afsender kan være en del af svindlen, fordi YAM Store netop solgte adgang til cloudmiljøer og tidligere legitime organisationsidentiteter. For allerede modtagne henvendelser ligger den umiddelbare risiko derfor i det, beskeden beder modtageren gøre: åbne adressen, godkende et login eller afgive oplysninger. Domæneindgrebet bryder en del af leverandørkæden, men ændrer ikke, hvad en modtager allerede kan have delt.

Læs også: