Microsoft, YAM Store ve bağlantılı hizmetlerin ocak ayından bu yana bir milyarı aşkın kötü amaçlı mesajın gönderilmesine altyapı sağladığını bildirdi. E-posta ve SMS yoluyla iletilen mesajların 150’den fazla ülkede 75 bini aşkın kurumu hedef aldığı belirtildi.
20 binden fazla hesap kapatıldı
Şirketin paylaştığı toplam mesaj sayısının yaklaşık 750 milyonu Microsoft müşterilerine yönelikti; bu miktar bir milyarı aşan genel toplamın içinde yer alıyor. Microsoft, operasyon kapsamında 20 binden fazla hesabı kapattığını ve 100 bini aşkın alan adını engellediğini duyurdu.
Japonya Ulusal Polis Teşkilatı, 2025’in sonlarında Microsoft’a faaliyetlerle ilgili bilgi verdi. Microsoft daha sonra Japonya Siber Suç Kontrol Merkezi ve diğer güvenlik kuruluşlarıyla incelemesini genişletti. ABD Florida Güney Bölgesi Federal Mahkemesi de ilgili alan adlarına el konulması ve trafiğin yönlendirilmesi için geçici karar aldı.
Microsoft ve Health-ISAC’ın yürüttüğü hukuk sürecinde, YAM Store adıyla faaliyet gösterdiği öne sürülen Yang Ji ile kimliği henüz açıklanmayan kişiler hedef alınıyor. Geçici karar, davalıların suçlu bulunduğu anlamına gelmiyor. Süreçte alan adlarının kontrolü değiştirilerek kötü amaçlı altyapıya erişimin kesilmesi amaçlanıyor.
Oltalama araçları ve hesap satışı ağı incelendi
Microsoft’un teknik incelemesi, tekil bir mesaj kampanyasından daha geniş bir hizmet ağını ele alıyor. Araştırmacılar YAM Store’u Storm-3119 adıyla izliyor; CoGUI, Haozi ve Iron Man System adlı oltalama araçlarını ise Storm-2990 kümesiyle ilişkilendiriyor.
YAM Store’un sahte ya da ele geçirilmiş bulut hesaplarını diğer saldırganlara erişim sağlamak için kullandığı belirtiliyor. Bu nedenle bir mesajın gerçek bir bulut hizmetinden gelmesi, içeriğindeki isteğin güvenilir olduğunu tek başına göstermiyor. Raporda sağlık, finans, toptan ticaret ve bilgi teknolojileri alanlarını hedef alan faaliyetler arasındaki bağlantılar da inceleniyor.
Microsoft’a göre Iron Man System, 2026’nın ortalarında CoGUI’nin yerini almaya başladı. Araştırmacılar farklı kuruluşları taklit eden binlerce şablon belirledi. Şirket, hesapların ve alan adlarının engellenmesini devam eden müdahalenin parçaları olarak tanımlıyor; tüm dolandırıcılık faaliyetlerinin sona erdiğini söylemiyor.
İnceleme, özellikle Japonya, ABD, Avustralya ve Hindistan’daki kurumlara yönelik saldırıları kapsıyor. Araştırmacılar sahte bulut hesaplarının satışını ve oltalama şablonlarının geliştirilmesini ayrı faaliyetler olarak ele alarak altyapı sağlayıcılarıyla bu hizmetleri satın alan saldırganları birbirinden ayırıyor.
