Microsoft interrompe la filiera di phishing di YAM Store

Il 14 ottobre 2026 Microsoft ha reso pubblica l’indagine sull’intervento contro YAM Store e i kit collegati: da gennaio gli operatori dell’ecosistema avevano agevolato l’invio di oltre un miliardo di email e SMS di phishing verso più di 75.000 organizzazioni nel mondo. L’operazione ha colpito un mercato che forniva account, infrastrutture cloud e strumenti per costruire le truffe a clienti criminali.

La cronaca di SecurityWeek del 14 ottobre 2026 riferisce che Microsoft e Health-ISAC, in base a un ordine di un tribunale federale della Florida, hanno sequestrato e reindirizzato domini usati da YAM Store, CoGUI e Iron Man; Microsoft ha disattivato oltre 20.000 account legati al mercato e sta bloccando più di 100.000 domini usati per impersonificazione e frodi. Il sequestro di un dominio, la disattivazione di un account e il blocco di un collegamento sospetto riguardano risorse diverse. Per questo le cifre descrivono la portata dei singoli interventi, non un totale di siti chiusi.

YAM Store vendeva le risorse di partenza

YAM Store faceva da intermediario tra chi otteneva accesso a servizi cloud e chi voleva usarli per campagne fraudolente. Nel suo catalogo comparivano ambienti Microsoft e Google compromessi o creati in modo fraudolento, oltre ad account, licenze e spazio di archiviazione. Un acquirente poteva procurarsi risorse già disponibili, anziché allestire da sé ogni componente della campagna.

La provenienza di quelle risorse era una parte essenziale del modello. Gli operatori individuavano nomi e domini di organizzazioni non più attive; in alcuni casi ricostruivano un sito dall’aspetto plausibile per ottenere nuovi ambienti cloud a nome dell’organizzazione. Usavano anche credenziali sottratte per controllare ambienti esistenti. L’età di un account, il tipo di abbonamento e l’apparente legame con un ente educativo o senza scopo di lucro diventavano caratteristiche utili alla rivendita.

Negli ambienti Microsoft compromessi, il controllo poteva passare attraverso credenziali di applicazioni, oltre che attraverso l’accesso di un amministratore. I pannelli degli operatori permettevano di modificare password, assegnare licenze e mantenere privilegi; SharePoint e OneDrive potevano diventare spazio di archiviazione rivendibile. La filiera comprendeva anche la gestione di domini, certificati e instradamento delle pagine fraudolente. Sono componenti che spiegano perché colpire soltanto il messaggio ricevuto dalla vittima non avrebbe interrotto la fornitura delle campagne successive.

I kit trasformavano l’infrastruttura in pagine fraudolente

CoGUI, Haozi e Iron Man System aggiungevano alla fornitura di account gli strumenti per impersonare soggetti affidabili. CoGUI offriva siti e messaggi pronti all’uso; Iron Man ampliava la scelta con migliaia di modelli adattabili a marchi, settori e paesi. I kit avevano nomi e canali di vendita distinti, ma presentavano somiglianze tecniche e sovrapposizioni nell’infrastruttura. Il mercato metteva così in relazione chi procurava le risorse, chi sviluppava gli strumenti e chi conduceva le campagne.

Le esche comprendevano avvisi su consegne, pedaggi, multe e presunti problemi con un account. Il collegamento nel messaggio conduceva a una pagina controllata dagli aggressori, costruita per raccogliere credenziali o dati di pagamento. In alcuni casi il kit consentiva all’operatore di seguire l’interazione in tempo reale e chiedere anche un codice di verifica. Il marchio imitato serviva a rendere credibile la richiesta: la sua presenza in una pagina falsa non indica, da sola, che i sistemi dell’organizzazione imitata siano stati compromessi.

Questa divisione del lavoro rendeva le campagne sostituibili e adattabili. Un cliente poteva cambiare esca, lingua o organizzazione impersonata continuando a usare servizi acquistati da fornitori collegati. Allo stesso tempo, una dipendenza comune — un dominio, un account cloud o un servizio necessario al kit — offriva agli investigatori un punto su cui intervenire contro più operazioni criminali.

Che cosa è stato interrotto

La parte più visibile dell’operazione riguarda gli indirizzi che portavano al mercato e alle pagine fraudolente. Il resoconto operativo di Cloudflare descrive pagine di avviso mostrate sui siti collegati a YAM Store, progetti Workers disabilitati, account sospesi e centinaia di domini e progetti rimossi dai suoi servizi a metà ottobre 2026. Dove il trasferimento legale di un dominio non era praticabile, l’avviso ai visitatori offriva una misura tecnica distinta: il collegamento poteva restare attivo, ma non conduceva liberamente alla pagina di phishing.

Gli account chiusi erano invece parte delle risorse che il mercato controllava o poteva rivendere. Il blocco dei domini usati per impersonificazione limita la raggiungibilità di collegamenti fraudolenti, mentre la rimozione dei progetti ospitati interrompe servizi impiegati per pubblicare o gestire le pagine. La differenza conta anche per valutare l’esito: i messaggi già inviati misurano l’attività passata, mentre queste azioni incidono sulla capacità di usare l’infrastruttura individuata.

L’intervento non rende permanente la perdita di ogni componente della filiera. Altri account possono essere acquisiti e nuovi domini possono essere registrati; Microsoft prosegue la rimozione delle risorse ospitate sui propri servizi. L’effetto accertato riguarda i fornitori e le infrastrutture identificati nell’indagine. La durata dell’interruzione dipenderà anche dalla capacità degli operatori di ricostituire quei collegamenti.

I segnali da osservare nelle organizzazioni italiane

Per un’organizzazione in Italia, il caso mostra perché il solo nome del kit o il marchio presente nel messaggio siano indicatori insufficienti. Un’esca può cambiare aspetto mentre la campagna continua a usare account ottenuti illecitamente, domini predisposti per il reindirizzamento e pagine ospitate su servizi cloud. Collegare il messaggio alla destinazione effettiva del link e ai successivi tentativi di accesso offre una visione più utile dell’attività.

Se viene coinvolto un ambiente Microsoft 365, le modalità osservate indicano controlli pertinenti su nuovi privilegi amministrativi, credenziali applicative, assegnazioni di licenze e uso insolito di SharePoint o OneDrive. Per gli utenti contano anche le richieste inattese di codici di verifica e gli accessi che seguono un clic su una pagina imitativa. Sono segnali derivati dal funzionamento della filiera, senza implicare che una specifica organizzazione italiana sia stata colpita.

La prossima misura dell’efficacia dell’operazione sarà la ricomparsa, o meno, di domini, account e servizi sostitutivi. Per chi difende gli ambienti cloud, il rischio residuo sta proprio nella possibilità che una nuova fornitura rimetta in funzione le stesse esche con risorse diverse.