Un'operazione internazionale ha smantellato un vasto ecosistema di servizi criminali, tra cui CoGUI, YAM Store e Iron Man, responsabili di oltre un miliardo di messaggi fraudolenti. Le nuove fonti rivelano dettagli sull'operatività e sull'impatto dei kit di phishing.
L'operazione congiunta tra Microsoft, Health-ISAC e diverse agenzie di sicurezza internazionali ha inferto un duro colpo a un sofisticato ecosistema di servizi criminali che ha facilitato campagne di frode su larga scala. Al centro dell'indagine, che ha preso avvio da un allarme della Japan National Police Agency (NPA) nel 2025, figurano tre componenti chiave: YAM Store, CoGUI e Iron Man. Le recenti informazioni, emerse a gennaio 2026 e ulteriormente dettagliate da nuove fonti, confermano che questi servizi hanno orchestrato la distribuzione di oltre un miliardo di messaggi fraudolenti, con una porzione significativa, pari a oltre 750 milioni, diretta a utenti Microsoft in più di 150 nazioni.
Le nuove fonti gettano ulteriore luce sul funzionamento dei tre servizi principali:
Le nuove informazioni confermano che questi servizi, operando in sinergia, hanno permesso ai cybercriminali di lanciare attacchi su vasta scala con una notevole efficienza. In particolare, è emerso che CoGUI, insieme a kit strettamente correlati come CoAceV e CoFish_Ws, ha preso di mira in modo specifico le organizzazioni giapponesi, sfruttando la fiducia degli utenti verso brand noti come Amazon, Apple, PayPay, Rakuten, SMBC, JCB e Yamato Transport.
L'operazione che ha portato al sequestro dei domini e allo smantellamento dell'infrastruttura è stata un'impresa complessa che ha coinvolto un'ampia coalizione di attori. Un ordine del U.S. District Court for the Southern District of Florida ha autorizzato Microsoft e Health-ISAC a sequestrare e reindirizzare i domini associati a YAM Store, CoGUI e Iron Man. Microsoft ha inoltre agito disabilitando oltre 20.000 account compromessi legati a YAM Store e bloccando più di 100.000 domini utilizzati per scopi fraudolenti. L'azione ha visto la partecipazione attiva del Japan Cybercrime Control Center (JC3), dell'U.S. Secret Service, e di importanti aziende di sicurezza come Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs.
Le nuove fonti aggiungono dettagli cruciali sull'operatività dei kit di phishing. Proofpoint, in particolare, ha fornito dati significativi, indicando che CoGUI da solo genera più di 100 milioni di email malevole mensilmente. La loro analisi ha rivelato che i tre kit (CoGUI, CoAceV e CoFish_Ws) condividono radici comuni e affiliati sovrapposti, basandosi su somiglianze nel targeting, nelle strutture degli URL e nei comportamenti di evasione. Tra luglio e settembre 2026, questi kit hanno utilizzato quasi 4.000 domini unici, dimostrando una costante rotazione dell'infrastruttura e notevoli risorse operative.
Le campagne orchestrate da questo ecosistema hanno generato decine di milioni di dollari per i criminali, colpendo oltre 75.000 organizzazioni in 150 paesi. Il settore sanitario è stato particolarmente vulnerabile, con segnalazioni di interruzioni nei sistemi di gestione dei pazienti e potenziali perdite di dati clinici. Le tattiche impiegate dai criminali includevano l'uso di geofencing, browser fingerprinting e filtri basati sugli header per decidere se servire contenuti di phishing o reindirizzare i visitatori. I link malevoli spesso portavano a portali di autenticazione o pagamento contraffatti, progettati per raccogliere nomi utente, password e informazioni sulle carte di credito.
Le nuove informazioni sottolineano che, nonostante il sequestro dei domini, la frequente sostituzione dell'infrastruttura da parte dei criminali dimostra come la sola interruzione delle infrastrutture non sia sufficiente per eradicare completamente le minacce. Le organizzazioni sono quindi esortate a implementare difese a più livelli e a dare priorità all'autenticazione resistente al phishing, come le passkey, monitorare attentamente le transazioni e contattare immediatamente i fornitori in caso di sospetta compromissione.
L'operazione ha ribadito l'importanza cruciale della cooperazione internazionale tra agenzie di polizia, organizzazioni di settore e provider di servizi cloud. La vigilanza sui domini scaduti e la loro potenziale riacquisizione da parte di attori malevoli rimangono un punto critico. L'educazione degli utenti contro le tecniche di phishing e la gestione sicura delle credenziali continuano a essere pilastri fondamentali per la difesa.
Microsoft ha risposto annunciando un nuovo programma di “Cybercrime Response”, che include analisi predittive basate su machine learning per individuare domini sospetti e partnership rafforzate con provider di sicurezza. Le lezioni apprese da questa operazione evidenziano che, sebbene la dismissione di un servizio criminale sia un passo significativo, la rete più ampia continua a evolversi. Come sottolineato da esperti del settore, è fondamentale che le squadre di sicurezza utilizzino gli indicatori di compromissione condivisi per monitorare attività sospette e accessi non autorizzati alle applicazioni cloud.
In conclusione, lo smantellamento di YAM Store, CoGUI e Iron Man rappresenta un successo notevole nella lotta contro la criminalità digitale. Tuttavia, la resilienza e l'adattabilità dei cybercriminali richiedono un impegno costante e un approccio olistico che integri tecnologia avanzata, collaborazione globale e una forte consapevolezza della sicurezza a tutti i livelli.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
