„Microsoft“ perėmė domenus po milijardo sukčiavimo žinučių

2026 m. spalio 14 d. „Microsoft“ ir „Health-ISAC“ pagal JAV Floridos pietinės apygardos teismo nutartį perėmė ir nukreipė domenus, kurie palaikė „YAM Store“, „CoGUI“ ir „Iron Man“ veiklą: nuo sausio šios paslaugos padėjo išsiųsti daugiau kaip milijardą sukčiavimo el. laiškų ir SMS žinučių, nukreiptų į daugiau nei 75 tūkst. organizacijų, o daugiau kaip 750 mln. žinučių buvo skirtos „Microsoft“ klientams, rašoma „Microsoft“ pranešime apie operaciją. Perimti adresai buvo nusikalstamų paslaugų atrama, bet jau išsiųstų žinučių tai neištrina.

Nepriklausoma „SecurityWeek“ apžvalga nurodo, kad „Microsoft“ taip pat išjungė daugiau kaip 20 tūkst. su „YAM Store“ susijusių paskyrų ir blokuoja daugiau kaip 100 tūkst. apsimetinėjimui bei sukčiavimui naudotų domenų; joje cituojamas bendrovės Skaitmeninių nusikaltimų padalinio vadovo Steveno Masados vertinimas: „YAM Store, CoGUI and Iron Man are only part of that larger criminal network.“ Šių paslaugų sutrikdymas apsunkina prieigą prie paskyrų ir įrankių, tačiau apgaulės tekstus galima perkelti į kitus adresus.

Prekyvietė tiekė paskyras, rinkiniai – apgaulės puslapius

„YAM Store“ pardavinėjo iš „Microsoft“ ir „Google“ aplinkų apgaule gautas arba užvaldytas paskyras, domenus, licencijas ir saugyklą. Pirkėjams tai buvo būdas gauti paruoštą interneto infrastruktūrą, kuri galėjo atrodyti susijusi su tikra organizacija. Tarp siūlomų išteklių buvo aplinkų, susietų su švietimo ar ne pelno organizacijomis; pasibaigusių organizacijų vardų paieška padėjo tokius išteklius įgyti ir panaudoti.

„CoGUI“ ir „Iron Man“ buvo parduodami sukčiavimo rinkiniai. Jie teikė žinučių bei svetainių šablonus, kuriais buvo imituojami bankai, siuntų bendrovės, valdžios institucijos ir kitos žinomos organizacijos. „Iron Man“ išplėtė šią pasiūlą: „Microsoft“ techninėje analizėje suskaičiuota daugiau kaip 2335 jo šablonai, pritaikyti daugiau kaip 139 šalims; per „YAM Store“ jis reklamuotas nuo 2026 m. birželio. Tame pačiame tyrime tarp prekyvietėje siūlytų rinkinių minimas ir „Haozi“, todėl ši operacija neapima visų aprašytos ekosistemos įrankių.

Ši grandinė paaiškina, kodėl gavėjas matydavo tik trumpą SMS, nors už jos stovėjo kelios paslaugos. Prekyvietė suteikdavo paskyras ir aplinkas, rinkinys – paruoštą tariamo siuntėjo istoriją bei puslapį duomenims surinkti, o galutinis platintojas pasirinkdavo auditoriją. Todėl tas pats apgaulės scenarijus gali atrodyti kaip skirtingų įstaigų pranešimai ir būti siunčiamas iš vis kitų adresų.

Ką leidžia teismo nutartis

Viešame bylos pranešime nurodyta, kad „Microsoft“ ir „Health-ISAC“ pateikė civilinį ieškinį prieš Yang Jian, veikusį „Yam Store, Inc.“ vardu, ir kitus nenustatytus atsakovus JAV Floridos pietinės apygardos teisme; bylos numeris – 1:26-cv-26998-JEM. Teismas suteikė laikinąją apsaugą, leidžiančią perduoti ginčijamų domenų kontrolę „Microsoft“ arba apriboti jų veikimą, o galutinio sprendimo bei nuolatinio draudimo dar siekiama.

Nukreipus domeną, užklausos į tą konkretų adresą nebeturėtų pasiekti ankstesnės nusikalstamos paslaugos. Tai trukdo valdyti jos svetaines, pardavinėti prieigą ar priimti duomenis ten, kur ji iki šiol veikė. Civilinis procesas sprendžia domenų kontrolę ir atsakomybę; jo pradžia nėra pranešimas apie visų rinkinių kūrėjų ar jų klientų sulaikymą.

„Iron Man“ priklausomybė nuo tiekėjo gali padidinti sutrikdymo poveikį. Įsigijusi licenciją, „Resecurity“ laboratoriniame tyrime užfiksavo nuolatinius rinkinio ryšius su tiekėjo autorizavimo serveriu ir atskirai suskaičiavo 2360 masalų paketų, skirtų 130 šalių bei teritorijų. Šie dydžiai skiriasi nuo „Microsoft“ skaičiuotų šablonų ir jiems pritaikytų šalių: tyrimai skirtingai apibrėžia skaičiuojamą vienetą ir aprėptį. Jei autorizavimo serveris taptų nepasiekiamas, nuo jo priklausomi dieginiai galėtų sutrikti, tačiau viešai paskelbti teismo veiksmai neįvardija, ar būtent šis serveris buvo perimtas.

Trys masalai, kuriuos matydavo gavėjai

Neapmokėtas kelių mokestis arba bauda buvo viena iš šių rinkinių naudotų istorijų. Gavėjui siųsta skubos įspūdį kurianti žinutė su nuoroda į tariamą mokėjimo puslapį; ten galėjo būti prašoma kortelės duomenų. Lietuvoje vien kelių mokesčio paminėjimas nereiškia, kad pranešimas susijęs su šia operacija: svarbesnis požymis yra netikėta nuoroda, kurią spaudžiant raginama nedelsiant mokėti.

Kitas masalas – nepristatytas siuntinys. Žinutė sudarydavo įspūdį, kad reikia patikslinti adresą arba sumokėti už pristatymą, ir nukreipdavo į puslapį, imituojantį vežėją. Tariama banko problema veikė panašiai, tik vietoj pristatymo kliūties minėtas paskyros saugumas ar būtinybė prisijungti iš naujo. Tokios formuluotės išnaudoja įprastus kasdienius veiksmus: žmonės tikrai laukia siuntų ir gauna bankų pranešimų, todėl pažįstama tema gali atrodyti įtikinama.

Apgaulingame puslapyje galėjo būti renkami slaptažodžiai, kortelės duomenys ar prisijungimo patvirtinimo kodai. Atpažįstamas prekės ženklas čia yra apsimetimo dalis, o ne požymis, kad tikros įstaigos sistemos buvo pažeistos. Viešuose operacijos duomenyse nėra atskiro Lietuvos aukų skaičiaus, todėl vietinio masto iš jų nustatyti negalima; šablonus galima išversti ir pritaikyti vietiniam siuntėjui.

Kaip patikrinti įtartiną žinutę

Perimtas domenas nėra patikimas būdas vertinti gautą pranešimą: sena žinutė gali likti telefone, o toks pat tekstas gali būti išsiųstas su nauja nuoroda. Trumpa patikra prasideda nuo savarankiško ryšio su tariamu siuntėju:

Neatidarykite žinutėje esančios mokėjimo ar prisijungimo nuorodos. Patys atverkite įprastą siuntų tarnybos, kelių mokesčių administratoriaus ar banko programėlę arba įveskite žinomą oficialų adresą.
Palyginkite paskyroje matomą informaciją su žinutės reikalavimu. Jei ten nėra siuntos kliūties, mokėtinos sumos ar saugumo įspėjimo, žinutės nurodymo nevykdykite.
Jei duomenis jau įvedėte, susisiekite su banku ar atitinkama tarnyba per oficialų kanalą ir paprašykite padėti apsaugoti kortelę ar paskyrą; atskleistą slaptažodį pakeiskite.

Kol civilinėje byloje laukiama sprendimo dėl ilgalaikės domenų kontrolės, gavėjo pasirinkimas priklauso nuo konkrečios žinutės. Ta pati siuntinio ar mokėjimo istorija gali atsirasti kitame adrese, todėl ją verta tikrinti per pačios įstaigos kanalą ir po šio infrastruktūros perėmimo.

Taip pat skaitykite: