Microsoft ve Japon polisi bir milyar phishing mesajının arkasındaki dolandırıcılık ağını çökertti

Microsoft, şirketin açıklamasına göre Japonya Ulusal Polis Teşkilatı ile birlikte bir milyardan fazla phishing mesajından sorumlu bir siber suç operasyonunu çökertti. The Verge'ın haberine göre Microsoft'un soruşturması, dolandırıcılık SMS ve e-postalarının — çoğu telefon kullanıcısının aşina olduğu sahte park cezaları ve uydurma kargo bildirimlerinin — kaynağını YAM Store adlı bir yeraltı pazarına ve CoGUI ile Iron Man adlı iki phishing kitine dayandırdı.

Operasyonun ölçeği

The Verge'ın aktardığı Microsoft raporundaki rakamlar, düzenin ne kadar endüstrileştiğini gösteriyor. Ocak 2026'dan bu yana YAM Store, CoGUI ve Iron Man birlikte dünya genelinde 75.000'den fazla kurumu hedefleyen bir milyarı aşkın kötü niyetli mesajın gönderilmesini sağladı; bu mesajların 750 milyonundan fazlası yalnızca Microsoft müşterilerine yönelikti. Hedeflenenler arasında 150'den fazla ülkede tüketiciler, sağlık kuruluşları, finansal kurumlar ve diğer işletmeler yer aldı. Microsoft, operasyonun yöneticilerine on milyonlarca dolar kazandırdığını belirtiyor.

Dolandırıcılık hattı nasıl çalışıyordu

YAM Store, dolandırıcılar için bir tedarik dükkanı işlevi görüyordu. The Verge'ın haberine göre alıcılar, pazarda çalınmış veya sahte Microsoft ve Google hesapları satın alabiliyor, ardından phishing kitlerini kullanarak dolandırıcılık mesajlarını ölçekli biçimde yayabiliyordu.

Pazar kendi envanterini de üretiyordu. Microsoft'a göre YAM Store, kayıt süreleri dolan gerçek kuruluşlara ait web alan adlarını devraldı ve hiç var olmayan kuruluşlar için web siteleri oluşturdu. Her iki teknik de, daha sonra diğer suçlulara yeniden satılabilecek Microsoft hesapları elde etmek için kullanıldı.

Iron Man kiti ise kılık kıyafeti sağlıyordu. Microsoft, kitin dolandırıcıların bankaları, polis teşkilatlarını ve diğer güvenilir kurumları taklit etmek için kullanabileceği 2.300'den fazla şablon sunduğunu, bunun da ikna edici bir kampanya yürütmek isteyen herkes için beceri eşiğini düşürdüğünü söylüyor.

Microsoft ve ortakları ne yaptı

Microsoft, YAM Store ile bağlantılı 20.000'den fazla hesabı devre dışı bıraktığını ve taklit ile dolandırıcılıkta kullanılan 100.000'den fazla web alan adını engellediğini bildiriyor. Şirket ayrıca, sağlık sektörü siber güvenliğine odaklanan kâr amacı gütmeyen Health-ISAC ile birlikte çalışarak üç platformun da beslendiği alan adlarına el koydu ve yönlendirdi; böylece pazarın ve her iki kitin arkasındaki altyapı kesildi.

Neden önemli

Tek bir ekosistemin 75.000 kuruma karşı bir milyar mesaj göndermesini sağlaması, phishing'in artık küçük ölçekli bir faaliyet olmadığının hatırlatması. Pazar yerleri, hazır kitler ve binlerce taklit şablonu, saldırganların yetkinliği kendileri geliştirmek yerine kiralayabileceği anlamına geliyor; bu da hem hacmi hem de sağlık ve finans gibi sektörlere uzanan erişimi açıklıyor.

Operasyonun iki tedarik zinciri, kuruluşların fiilen kontrol edebildiği savunmalara da işaret ediyor. Süresi dolan alan adı kayıtları ile ele geçirilmiş ya da sahte yollarla elde edilmiş hesaplar buradaki hammaddeydi; dolayısıyla süresi dolmak üzere olan alan adlarını yenilemek, marka taklidini izlemek ve hesapları güvence altına almak hâlâ pratik karşı önlemler.

Operasyonun çökertilmesi, bu tür suçlarda izlenen uygulama modelini de gözler önüne seriyor: özel bir şirketten telemetri ve hukuki araçlar, ulusal bir polis teşkilatı ve sektöre özgü bir tehdit paylaşım grubuyla birleşiyor. Sıradan kullanıcılar için ise doğrudan etkisi, o dolandırıcılık mesajlarının daha az gelmesi olmalı — en azından operatörler ya da müşterileri yeni bir altyapıda yeniden örgütlenene kadar.