Введение: айсберг современной киберпреступности
Когда рядовой пользователь получает подозрительное SMS-сообщение о заблокированном банковском счете или истекающей подписке, он чаще всего просто удаляет его или отправляет в спам. Однако фраза, вынесенная в заголовок этой статьи — «То, что кажется простым мошенническим сообщением, часто является видимым концом гораздо более крупной транснациональной киберпреступной операции», — как нельзя лучше отражает современную реальность информационной безопасности. За каждым отдельно взятым фишинговым письмом сегодня стоят не одиночки-энтузиасты, а сложные межнациональные корпорации, обладающие огромными бюджетами, отделами разработки, маркетинга и клиентской поддержки.
Недавняя масштабная операция, проведенная корпорацией Microsoft в тесной кооперации с международными правоохранительными органами и ведущими компаниями в сфере кибербезопасности, вскрыла изнанку теневого рынка «Phishing-as-a-Service» (PaaS). В центре внимания оказался гигантский китайскоязычный киберпреступный маркетплейс YAM Store, чья инфраструктура позволила злоумышленникам разослать более одного миллиарда фишинговых сообщений по всему миру. В этой статье мы подробно разберем анатомию данной угрозы, ключевые инструменты злоумышленников, роль технологических гигантов в ликвидации сети и то, почему современные киберпреступные синдикаты работают по лекалам классического IT-бизнеса.
Анатомия YAM Store: от простого спама к индустрии Phishing-as-a-Service
Современный ландшафт угроз кардинально изменился за последние несколько лет. Если раньше для проведения масштабной фишинговой кампании требовались навыки программирования, аренды абузоустойчивых серверов и ручной рассылки, то сегодня экосистема YAM Store и аналогичные площадки предлагают готовые коробочные решения. По своей структуре такие маркетплейсы напоминают легальные магазины приложений или маркетплейсы вроде Amazon, только ассортимент здесь состоит из украденных цифровых аккаунтов, верифицированных учетных записей, уязвимых хостингов и комплексных инструментов для автоматизации мошенничества.
Модель Phishing-as-a-Service снизила порог входа в мир киберпреступности практически до нуля. Теперь человек, не обладающий глубокими техническими знаниями или навыками реверс-инжиниринга, может купить готовый пакет услуг, запустить рассылку и начать собирать учетные данные доверчивых пользователей. Именно эта доступность превратила локальные мошеннические схемы в транснациональную индустрию с миллиардными оборотами.
Интересно, что в теневом сегменте интернета пользователи часто ищут самые неожиданные комбинации сервисов для автоматизации своих задач — иногда это сравнения вроде apple music vs whatsapp в контексте интеграции уведомлений, а порой и более изощренные инструменты для обхода систем аутентификации. Создатели YAM Store прекрасно понимали эти пользовательские паттерны, предлагая решения под любые запросы атакующих.
«Масштаб киберпреступности сегодня измеряется не отдельными хакерами-одиночками, а промышленными экосистемами, где инструменты разработки, рассылки и монетизации разделены между разными участниками черного рынка».
Как началась операция: роль Национального полицейского агентства Японии
Любая масштабная кибероперация начинается с триггера — точечного сигнала, который позволяет раскрутить клубок взаимосвязанных цифровых улик. В случае с ликвидацией YAM Store расследование получило мощный импульс благодаря Национальному полицейскому агентству Японии (NPA). Японское ведомство зафиксировало беспрецедентную волну целенаправленного мошенничества, которая захлестнула местных граждан и коммерческие организации.
Атакующие действовали изощренно: фишинговые кампании имитировали крупнейшие японские бренды, банки, государственные порталы и ритейлеров. Получив тревожные данные от NPA, компания Microsoft подключила свои аналитические ресурсы и команды по реагированию на угрозы (Microsoft Threat Intelligence). К расследованию также присоединились частные фирмы по кибербезопасности, включая компанию Proofpoint.
Синергия усилий технологического гиганта, аналитиков безопасности и правоохранительных органов позволила составить полную карту инфраструктуры YAM Store. Стало очевидно, что японский вектор был лишь частью глобальной экспансии синдиката, чьи щупальца дотянулись до пользователей в США, Европе и других регионах.
Технологический арсенал синдиката: от CoGUI к платформе Iron Man
Успех YAM Store на теневом рынке объяснялся высочайшим качеством технического обеспечения, которое предоставлялось «клиентам». Злоумышленники постоянно совершенствовали свой софт, адаптируя его под новые методы защиты браузеров и систем двухфакторной аутентификации. В арсенале маркетплейса находились два флагманских инструмента, которые заслуживают отдельного рассмотрения:
- CoGUI — специализированный фреймворк для быстрого создания сайтов. Он позволял злоумышленникам разворачивать точные копии легитимных веб-страниц за считанные минуты. CoGUI активно использовался для атак в Японии и США, обеспечивая высокую конверсию за счет идеального визуального соответствия оригинальным брендам.
- Iron Man — продвинутая шаблонная галерея, которая пришла на смену CoGUI в период с середины 2024 по 2026 годы. Этот инструмент стал настоящим прорывом для организаторов атак.
Инструмент Iron Man заслуживает особого внимания ИТ-специалистов, поскольку он демонстрирует уровень организации современной киберпреступности. Платформа предоставляла злоумышленникам более 2 300 готовых шаблонов для имитации интерфейсов ведущих банковских учреждений, глобальных ритейлеров, телекоммуникационных компаний и медицинских организаций по всему миру.
Ниже представлен концептуальный пример структуры конфигурационного файла, который мог использоваться подобными фреймворками для динамической подгрузки брендированных шаблонов фишинговых страниц:
{
"campaign_config": {
"target_region": "JP_US",
"engine": "Iron_Man_v2",
"template_id": "bank_auth_secure_99",
"obfuscation_level": "high",
"hooks": {
"capture_cookies": true,
"bypass_2fa": "sim_swapping_redirect",
"log_ip": true
},
"branding": {
"institution": "Tier1_Retail_Bank",
"locale": "ja-JP",
"ssl_enforced": true
}
}
}Такой уровень автоматизации позволял операторам запускать персонализированные кампании под конкретные страны и языковые группы без необходимости ручной верстки или написания уникального кода под каждый бренд.
Масштаб ликвидации: удар по инфраструктуре и миллиарду сообщений
Координированная спецоперация Microsoft, правоохранительных органов Японии и исследователей из Proofpoint стала беспрецедентным ударом по экосистеме Phishing-as-a-Service. В результате масштабных судебных и технических мер были заблокированы домены, составлявшие основу цифрового каркаса YAM Store, а также изъяты и деактивированы тысячи учетных записей, через которые управлялись фишинговые кампании.
Главный итог операции впечатляет своей статистикой: до того как инфраструктура была полностью нейтрализована, преступная сеть успела разослать более одного миллиарда фишинговых сообщений. Этот показатель наглядно демонстрирует, почему локальная блокировка отдельных спам-аккаунтов больше не работает. Без уничтожения корневой инфраструктуры маркетплейсов вроде YAM Store борьба с фишингом превращается в бесконечную борьбу со следствием, а не с причиной.
- Полное прекращение работы ключевых серверов маркетплейса YAM Store.
- Аннулирование тысяч аккаунтов киберпреступников, использовавшихся для рассылок.
- Ликвидация доступа к базам шаблонов фреймворка Iron Man.
- Предотвращение потенциальных финансовых потерь сотен тысяч пользователей по всему миру.
Транснациональный характер угроз и уроки для индустрии
Ликвидация YAM Store обнажила главную уязвимость современной глобальной цифровой среды — ее транснациональный характер. Преступные группировки могут находиться в одной юрисдикции, арендовать серверную инфраструктуру в другой, закупать инструменты через криптовалютные транзакции в третьей, а атаковать пользователей в четвертой (как это происходило с фокусом на Японию и США).
Эффективная борьба с такими угрозами возможна только при условии беспрецедентного уровня доверия и обмена информацией между частным сектором (IT-гигантами вроде Microsoft, облачными провайдерами, компаниями по информационной безопасности) и государственными правоохранительными структурами разных стран. Ни одна компания в одиночку не способна закрыть подобные каналы, так как киберпреступность давно превратилась в гибкую, децентрализованную сеть.
Заключение
История падения маркетплейса YAM Store и его флагманских инструментов CoGUI и Iron Man — это поворотный момент в противостоянии индустрии кибербезопасности и организованной киберпреступности. Она доказала, что за каждым простым фишинговым сообщением стоит сложная индустриальная машина Phishing-as-a-Service, способная генерировать миллиарды угроз.
Успешная операция, инициированная японской полицией и поддержанная Microsoft и Proofpoint, показала силу международного сотрудничества. Тем не менее, расслабляться рано: теневой рынок быстро адаптируется, и на месте рухнувших гигантов неизбежно появятся новые игроки. Для бизнеса и рядовых пользователей это означает одно: уровень цифровой гигиены, внедрение современных методов многофакторной аутентификации (включая аппаратные ключи и passkeys) и постоянный мониторинг угроз остаются главными условиями выживания в цифровом пространстве.