新闻中心
——“因为我们的存在，让您的邮件系统更有价值！”
安全快讯｜微软联合执法捣毁钓鱼黑产，涉10亿条恶意信息
发布时间：2026-10-16 / 浏览次数：9次
目前，微软已停用与YAM Store相关的2万多个账号，封禁超过10万个用于冒充和诈骗的域名。
这三个平台构成了分工明确的“钓鱼即服务”产业链。
YAM Store相当于账号交易市场，攻击者可购买被盗或伪造的Microsoft、Google账号，甚至获取M365环境访问权限。它还会劫持正规机构已到期的域名，搭建仿冒网站，再借此骗取账号并转售。微软将其追踪为Storm-3119。
CoGUI是一套钓鱼工具包，提供现成的仿冒网站和话术内容，覆盖企业、金融机构、政府机构等场景。
Iron Man则是一个钓鱼模板平台，内置超过2300套模板，可冒充银行、警方、政府机构、医疗机构等。CoGUI和Iron Man被微软统一追踪为Storm-2990。
这次案件最值得留意的地方，是钓鱼攻击正在工具化、商品化。过去制作仿冒邮件和钓鱼页面需要一定开发能力，现在黑产把整套工具打包售卖，普通攻击者只需付费，就能快速生成高度逼真的仿冒邮件和登录页面。
这类攻击有几个典型特点：劫持过期的企业域名，利用大众对旧域名的信任搭建钓鱼站点；直接售卖被盗云账号，拿到账号后可进一步发起BEC商业邮件欺诈；模板丰富，覆盖财务通知、账号更新、公文通知等企业高频场景。
微软也提到，这类黑产平台具备快速重建能力。即便本次基础设施下线，攻击者仍会更换新域名、新平台继续开展钓鱼，企业不能因为本次打击放松邮件安全防护。
- 持续做好员工安全意识培训。提醒员工警惕邮件内的外部链接，遇到账号核验、转账、资金审批类邮件，务必通过电话或线下渠道二次确认。
- 重视发件人域名身份校验，做好SPF、DKIM、DMARC域名解析配置，减少仿冒域名投递成功的概率。
- 云邮箱环境建议开启多因素认证，即便账号密码泄露，也能阻挡攻击者登录接管邮箱。
- 持续监控邮箱异常登录行为，异地登录、陌生设备批量访问邮箱，要及时告警处置。
