Microsoft ทลายตลาด Phishing จีน หลังพบส่งข้อความหลอกลวงพันล้านครั้ง

Microsoft และ Health-ISAC ดำเนินการเข้ายึดและเปลี่ยนเส้นทางโดเมนที่ใช้งานโดย YAM Store, CoGUI และ Iron Man ซึ่งเป็นสามส่วนประกอบหลักของตลาดอาชญากรรมทางไซเบอร์ภาษาจีน โดยเครือข่ายนี้ทำหน้าที่จัดหาบัญชี phishing kits และโครงสร้างพื้นฐานสำคัญให้แก่กลุ่มอาชญากรทั่วโลก

ปฏิบัติการครั้งนี้เป็นไปตามคำสั่งศาลแขวงสหรัฐฯ ประจำเขตทางตอนใต้ของฟลอริดา โดยมี Health-ISAC เข้าร่วมฟ้องร้องทางแพ่ง เนื่องจากพบว่าผู้ไม่หวังดีใช้โครงสร้างพื้นฐานดังกล่าวพุ่งเป้าโจมตีโรงพยาบาลและองค์กรสาธารณสุขอย่างต่อเนื่อง

ข้อมูลจาก Microsoft ระบุว่า บริการทั้งสามถูกใช้ส่งข้อความอันตรายมากกว่า 1,000 ล้านครั้งตั้งแต่เดือนมกราคม 2026 พุ่งเป้าไปที่ผู้บริโภคและองค์กรกว่า 75,000 แห่งใน 150 ประเทศ โดยกว่า 750 ล้านข้อความเป็นการโจมตีลูกค้าของ Microsoft ซึ่งช่วยให้ผู้ปฏิบัติการสร้างรายได้มหาศาลหลายสิบล้านดอลลาร์

ปัจจุบัน Microsoft ได้ระงับบัญชีที่เชื่อมโยงกับ YAM Store ไปแล้วกว่า 20,000 บัญชี และอยู่ระหว่างการบล็อกโดเมนอีกกว่า 100,000 โดเมนที่ใช้ในการแอบอ้างบุคคลภายนอกและฉ้อโกง ซึ่งการสืบสวนนี้เริ่มมาตั้งแต่ปลายปี 2025 จากการแจ้งเตือนของสำนักงานตำรวจแห่งชาติญี่ปุ่น ก่อนจะมีหน่วยงานอย่าง Resecurity, Cloudflare และ Oracle เข้าร่วมสนับสนุน

YAM Store, CoGUI และ Iron Man

Microsoft ติดตามกลุ่ม YAM Store ภายใต้ชื่อ Storm-3119 โดยตลาดแห่งนี้ขายโครงสร้างพื้นฐานที่สร้างขึ้นบนสภาพแวดล้อมที่ถูกบุกรุกจากผู้ให้บริการอย่าง Microsoft และ Google ซึ่งผู้ซื้อสามารถเลือกซื้อบัญชีได้ตามอายุการใช้งาน ประเภทการสมัครสมาชิก หรือประเภทองค์กร เช่น สถานศึกษาและหน่วยงานไม่แสวงหากำไร

นอกจากนี้ YAM Store ยังทำหน้าที่เป็น access broker ที่เข้ายึดครองเทแนนท์ (tenants) ของ Microsoft 365 และ Azure for Education เพื่อนำสิทธิ์การใช้งานและพื้นที่เก็บข้อมูลมาขายต่อในรูปแบบบริการ รวมถึงจำหน่าย phishing kits ภายใต้ชื่อ Storm-2990 ซึ่งประกอบด้วยเครื่องมืออย่าง CoGUI, Haozi และ Iron Man

Microsoft ประเมินว่าชุดเครื่องมือเหล่านี้พัฒนาโดยกลุ่มที่ใช้ภาษาจีน เนื่องจากพบความคล้ายคลึงของโครงสร้างพื้นฐานและการนำโค้ดกลับมาใช้ใหม่ โดยในช่วงกลางปี 2026 เครื่องมือตัวใหม่อย่าง Iron Man ได้เข้ามาแทนที่ CoGUI และเริ่มมีการโฆษณาในเดือนมิถุนายน 2026

Iron Man มีเทมเพลตการโจมตีมากกว่า 2,335 แบบ ครอบคลุม 139 ประเทศ โดยในสหรัฐฯ มักใช้การแอบอ้างเป็นหน่วยงานรัฐบาล เช่น หน่วยงานจัดเก็บค่าธรรมเนียมจราจร ชุดเครื่องมือนี้ยังทำหน้าที่เป็นแพลตฟอร์มโต้ตอบสดเพื่อให้แฮกเกอร์สามารถดักเก็บรหัสยืนยันตัวตน (OTP) จากเหยื่อได้แบบเรียลไทม์

จากการตรวจสอบโดย Resecurity พบว่าชุดเครื่องมือ Iron Man จำเป็นต้องติดต่อกับเซิร์ฟเวอร์สิทธิ์การใช้งาน (licensing server) ของผู้ขายตลอดเวลาเพื่อให้ทำงานได้ ซึ่งถือเป็นจุดอ่อนสำคัญที่ช่วยให้ฝ่ายป้องกันสามารถยับยั้งการโจมตีได้ด้วยการทำ sinkholing ที่โฮสต์อนุญาตสิทธิ์ Resecurity กล่าว