Microsoft saisit des sites de trois grossistes de l’hameçonnage

L’hameçonnage vendu à l’abonnement

L’hameçonnage (en anglais phishing) consiste à imiter une banque, un transporteur ou une administration pour obtenir d’une victime ses identifiants ou sa carte bancaire. Pour le pratiquer, il faut des comptes d’envoi, des pages qui ressemblent aux vraies et un endroit où récupérer ce que la victime a tapé. Les trois services visés vendaient ces briques toutes faites. L’équipe de renseignement sur les menaces de Microsoft les décrit comme des produits d'« hameçonnage en tant que service », vendus sous licence, conçus pour voler « des identifiants de connexion (noms d’utilisateur, mots de passe) et des données financières (informations de carte bancaire) ».

YAM Store, que Microsoft suit sous le nom de Storm-3119, est la boutique. On y achetait, selon l’éditeur, des comptes Microsoft et Google frauduleux, des identifiants volés et des outils d’escroquerie prêts à servir. Sa méthode : racheter des noms de domaine que des organisations légitimes avaient laissés expirer, « en ciblant souvent certains secteurs, comme les associations et l’enseignement », puis exploiter les informations de ces anciens clients pour « contourner les détections existantes ». L’intérêt pour l’escroc : un compte rattaché en apparence à une école ou à une association passe plus facilement les filtres automatiques qu’un compte neuf. Le paiement se faisait par Alipay, WeChat Pay ou en cryptomonnaie (USDT).

CoGUI, puis Iron Man, sont les kits d’hameçonnage, c’est-à-dire des lots de fausses pages et de messages déjà rédigés, accompagnés d’un panneau de gestion. Microsoft les rattache à un même groupe, Storm-2990, et estime « avec un degré de confiance élevé » qu’ils ont été développés par des criminels sinophones. YAM Store a d’abord vendu CoGUI et un troisième kit, Haozi, puis Iron Man à partir de juin 2026. Proofpoint, société de cybersécurité associée à l’enquête, suit CoGUI depuis la fin de 2024 : il dit bloquer « plus de 100 millions de courriels par mois » fabriqués avec ce kit, dont la cible principale est le Japon.

Iron Man fonctionne comme un logiciel par abonnement. Ses clients achètent un accès au serveur de licences du kit, dont l’adresse est inscrite en dur dans le programme, explique Microsoft. La société de cybersécurité Resecurity, partenaire de l’enquête, a acheté une licence pour l’étudier : elle décrit un panneau d’administration en version 6.3.1, avec un compte à rebours des jours restants avant expiration, et un catalogue dont le dernier ajout date du 1^er octobre 2026.

Ce que le tribunal de Miami a permis

L’affaire, n° 1:26-cv-26998-JEM, est jugée par le tribunal fédéral du district sud de Floride, à Miami. Les demandeurs sont Microsoft et Health-ISAC ; les défendeurs, un nommé Yang Jian, « exerçant sous le nom de Yam Store », et dix personnes non identifiées, selon la page où Microsoft publie les pièces. Les plaignants ont demandé une ordonnance restrictive temporaire ex parte, une mesure d’urgence prise sans que les défendeurs aient été entendus. Le juge l’a accordée par une ordonnance listée comme placée sous scellés. Les défendeurs disposent de 21 jours après la notification pour répondre.

Les annonces de Microsoft ne donnent ni la date de l’ordonnance ni le nombre de domaines saisis. L’éditeur affirme aussi avoir désactivé plus de 20 000 comptes liés à YAM Store et bloqué plus de 100 000 domaines utilisés pour usurper des identités et frauder.

L’enquête est partie du Japon. Elle a commencé fin 2025, écrit Microsoft, quand la police nationale japonaise lui a signalé des campagnes de messages visant des habitants du pays. Le Japan Cybercrime Control Center (JC3), qui travaille avec la police et des entreprises membres, dit avoir fourni des informations sur les dommages subis au Japon ; il rappelle que les virements frauduleux liés à la banque en ligne y ont atteint 10,4 milliards de yens en 2025, selon la police. Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs et le Secret Service américain figurent parmi les partenaires cités. Microsoft précise avoir relié comptes, sites et infrastructures « avec l’aide d’outils d’IA ». Aucune arrestation n’a été annoncée.

Trois décomptes pour un même catalogue

Les chiffres varient d’un document à l’autre, sans que leur méthode soit détaillée :

• Modèles de fausses pages. Le billet de la cellule anticybercriminalité de Microsoft (Digital Crimes Unit) parle de plus de 2 300 modèles, imitant des organisations de « plus de 150 pays ». Celui de son équipe de renseignement en compte plus de 2 335, adaptés à « plus de 139 pays ». Resecurity, qui a eu le catalogue entre les mains, en recense 2 360 dans 130 pays ou territoires.
• Messages. Microsoft attribue aux trois services « plus d’un milliard de messages malveillants » depuis janvier 2026, visant plus de 75 000 organisations, dont plus de 750 millions destinés à ses propres clients. Son équipe de renseignement parle de courriels et de SMS ; Resecurity reprend le même milliard en le qualifiant de courriels. Aucune source ne dit combien de SMS il contient.
• Argent. Les opérateurs auraient gagné « des dizaines de millions de dollars », selon Microsoft, sans plus de précision.

Le chiffre à retenir est donc un plancher commun : plus de 2 300 modèles visant au moins 130 pays. Le milliard de messages reste une estimation de Microsoft, reprise par ses partenaires.

La France figure dans le catalogue

Microsoft ne publie aucun chiffre par pays européen. La carte de son équipe de renseignement désigne les États-Unis et le Japon comme les pays les plus touchés ; ses exemples citent aussi l’Australie et l’Inde. Mais parmi les six exemples de fausses pages montrés dans l’annonce figure une page de suivi de livraison DPD en français, à côté d’un avis de paiement automobile allemand, d’un remboursement d’impôt néerlandais et d’une aide au logement polonaise. Dans le classement des marques les plus imitées établi par Resecurity, les transporteurs dominent : DHL (37 modèles), DPD (24), Apple (23), GLS (22). L’administration fiscale espagnole y apparaît avec 16 modèles, et une installation observée imitait « un opérateur européen d’amendes de stationnement », non nommé.

Microsoft prend soin de le préciser : la présence d’une organisation ou d’une administration dans ces modèles « ne signifie pas que ses systèmes ont été compromis ». Une fausse page DPD ne veut pas dire que DPD a été piraté.

En France, ce type d’arnaque est devenu la première menace : le rapport 2025 de Cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes, place l’hameçonnage « au premier rang des menaces, tous publics confondus, en augmentation de 70 % ». Le dispositif relie cette hausse à « l’exploitation malveillante » des données personnelles fuitées en 2025.

Couper l’approvisionnement ne coupe pas les SMS

Saisir les domaines d’un fournisseur prive ses clients d’outils, tant qu’ils n’en trouvent pas d’autres. Microsoft connaît la limite. En septembre 2025, après la saisie de 338 sites du service RaccoonO365 sur décision d’un tribunal de New York, l’éditeur écrivait : « nous nous attendons toujours à ce que les acteurs tentent de reconstruire leurs opérations ». Le marché se renouvelle d’ailleurs vite : à la mi-2026, les mêmes développeurs remplaçaient déjà progressivement CoGUI par Iron Man.

Un point reste ouvert. Puisque le domaine du serveur de licences est inscrit dans le kit Iron Man, sa saisie pourrait empêcher les copies installées chez les clients de fonctionner. Microsoft ne dit pas si ce domaine fait partie des saisies, ni si les kits déjà déployés se sont arrêtés.

Les réflexes donnés par les autorités françaises

Pour le destinataire d’un faux SMS, rien ne change. La fiche de Cybermalveillance.gouv.fr recommande de signaler le message, gratuitement, en le transférant au 33700 ou sur la plateforme 33700 des opérateurs ; une adresse de site frauduleux peut être signalée à Phishing Initiative pour être bloquée. Si l’on a déjà répondu :

• moyens de paiement communiqués ou débits suspects : « faites opposition immédiatement » ;
• mot de passe communiqué : « changez-le immédiatement sur le site ou service concerné » ;
• dans tous les cas, « déposez plainte au commissariat de police ou à la brigade de gendarmerie dont vous dépendez », ou auprès du procureur de la République.

Le service Info Escroqueries du ministère de l’Intérieur répond au 0 805 805 817, numéro gratuit, du lundi au vendredi de 9 h à 18 h 30.

Les citations de Microsoft, de Proofpoint et de Resecurity sont traduites de l’anglais par la rédaction.