Phishing : Microsoft annonce le démantèlement de YAM Store

Un milliard de messages malveillants revendiqués au compteur : derrière les chiffres, une infrastructure d’usurpation à grande échelle.

Microsoft annonce le démantèlement du marché YAM Store et des kits de phishing CoGUI et Iron Man, après une enquête menée avec l’Agence nationale de police japonaise. L’entreprise leur attribue plus d’un milliard de messages malveillants depuis janvier 2026 : l’arnaque avait son outillage, et manifestement du débit.

Sommaire3 sections

1. 01Un milliard d’envois, pas un milliard de victimes
2. 02Iron Man, le déguisement en kit
3. 03Comptes coupés, domaines bloqués

Le bilan opérationnel avancé par Microsoft porte sur deux leviers distincts : plus de 20 000 comptes liés à YAM Store désactivés et plus de 100 000 domaines web utilisés pour l’usurpation et la fraude bloqués. Ce sont les mesures concrètes annoncées par l’entreprise. Elles ne constituent pas, à elles seules, un décompte des attaques réussies ou des victimes.

L’enquête associe Microsoft à l’Agence nationale de police japonaise. Cette coopération est documentée; elle ne permet pas d’attribuer à la police japonaise chacune des mesures techniques annoncées. Le détail compte : enquêter ensemble et exécuter les mêmes opérations ne sont pas deux formulations interchangeables.

Le cœur du sujet, c’est l’infrastructure de la fraude, pas seulement le volume des messages.

Un milliard d’envois, pas un milliard de victimes

Microsoft affirme que les services visés ont permis l’envoi de plus d’un milliard de messages malveillants depuis janvier 2026, ciblant plus de 75 000 organisations dans plus de 150 pays. L’échelle annoncée dépasse donc largement le Japon. Ces chiffres restent ceux de l’entreprise : ils ne bénéficient pas ici d’une corroboration indépendante.

La distinction entre messages, organisations ciblées et compromissions est essentielle pour lire ce bilan. Un envoi malveillant n’est pas une intrusion réussie; une organisation ciblée n’est pas nécessairement une organisation compromise. On peut mesurer une activité de diffusion sans connaître pour autant son taux de réussite. Le milliard frappe fort, mais il ne raconte pas tout.

Plus de 750 millions de ces messages visaient les clients de Microsoft, indique également le groupe. Ce chiffre éclaire son implication : l’entreprise décrit une opération dont une part considérable des envois ciblait sa propre clientèle. Il ne donne, en revanche, ni un nombre de comptes piratés ni une mesure des pertes subies.

Iron Man, le déguisement en kit

Les trois noms ne désignent pas exactement la même chose. YAM Store est présenté comme un marché, tandis que CoGUI et Iron Man sont des kits de phishing. Les réunir sous une seule étiquette ferait perdre ce qui caractérise l’opération : elle vise à la fois un espace de commercialisation et des outils d’usurpation.

Microsoft rapporte qu’Iron Man proposait plus de 2 300 modèles permettant d’imiter notamment des banques et des services de police. C’est le détail le plus parlant du dispositif. Derrière le terme technique de kit, on trouve un catalogue de fausses identités institutionnelles, pas simplement une poignée de messages bricolés.

Le ressort commun à ces modèles est l’emprunt d’une autorité : celle d’un établissement bancaire ou d’un service de police. Le catalogue décrit par Microsoft donne une dimension concrète à cette logique d’imitation. Le volume des envois mesure la diffusion; les modèles montrent ce que les fraudeurs pouvaient mettre en scène.

Comptes coupés, domaines bloqués

Les deux compteurs du démantèlement doivent eux aussi rester séparés. Microsoft parle de comptes désactivés lorsqu’il évoque les liens avec YAM Store, et de domaines bloqués pour les adresses utilisées dans l’usurpation et la fraude. Additionner ces catégories pour fabriquer un total de sites supprimés serait trompeur : le bilan annoncé est de plus de 20 000 comptes désactivés et de plus de 100 000 domaines bloqués.