随着钓鱼即服务(PhaaS)走向产业化，微软近日宣布捣毁了一个涉及10亿条恶意信息的犯罪市场。

Yam Store出售帮助犯罪分子冒充机构、窃取凭据并针对全球超过7.5万家组织的工具包，AI辅助分析帮助识别出该行动背后的基础设施。

微软表示，已成功摧毁一个造成10亿条恶意信息传播的犯罪市场。微软与国际执法机构及多家科技与网络安全公司合作，历经近一年的调查，识别并关闭了名为Yam Store的地下协同网络，该网络从事商业化的钓鱼即服务（PhaaS）业务。

该网络使网络犯罪分子能够轻松购买并迅速部署现成的工具包，用于发起钓鱼攻击以窃取数据和凭据。

微软表示，此次打击行动源于日本当局提供的一条简单线索展开的调查。

微软数字犯罪部门副总法律顾问兼总经理史蒂文·马萨达在一篇博客文章中写道："通过协作并借助AI工具的帮助，我们将看似无关的账户、网站和基础设施联系起来，从而揭露了其背后更广泛的犯罪市场。一条看似简单的诈骗信息，往往只是一个规模更大的跨国网络犯罪行动的冰山一角。"

不断演变的PhaaS市场

据统计，Yam Store及其出售的工具包和工具总计向全球超过7.5万家组织发送了超过10亿条信息。其中超过7.5亿条信息发送给了微软客户，最终为犯罪运营者带来了"数千万美元"的非法收入。

对该市场的调查始于2025年末，当时日本国家警察局（NPA）通知微软，日本境内个人和企业正遭受"一波欺诈和诈骗活动"的侵害。研究人员最初预计会发现多个独立的行动，但实际上，他们发现了一个"庞大的中文网络犯罪市场"。随后调查范围扩展至全球，并得到了多家其他执法机构以及Resecurity、Cloudflare、Oracle、Proofpoint和TRM Labs等公司的协助。

Yam Store充当初始访问经纪人（IAB）的角色，运作方式类似于在线市场；在这个案例中，"商品"是伪造的微软和谷歌账户，以及用于实施凭据和数据窃取等诈骗活动的现成工具。客户可以浏览、比价并完成购买。可用工具按照账户的新旧程度、订阅类型以及环境类型（如.edu或.org网站）进行分类排列。

在某些情况下，犯罪运营者能够注册合法机构已经过期放弃的互联网域名，然后重新搭建使其看起来仍在正常运作。他们专门针对特定行业（如非营利组织或教育机构）骗取微软365账户，之后再通过Yam Store进行销售。

研究人员发现，Yam Store随着不同工具包的出现而不断演变，并识别出三款热门的PhaaS工具包：Iron Man System、CoGUI和Haozi。

较新的Iron Man系统于2026年年中崭露头角。它提供预先构建的诱导页面，用于捕获受害者提交的任何数据。这些诱导网站冒充医疗服务提供商、警察部门、政府机构、邮政和快递服务、收费及交通管理部门、税务机关、银行、电信公司以及零售商。通过测试购买和情报工作，调查人员发现了超过2300个模板，冒充超过150个国家的各类组织机构。

Iron Man有效扩展了PhaaS模式，让犯罪分子能够获取数千个针对特定行业、语言和地区量身定制的现成模板。马萨达指出，许多模板"利用官方权威的外观形象，施压受害者进行付款或泄露敏感个人信息。犯罪分子无需自行创建虚假网站，便可快速部署专门用于窃取密码、支付信息及其他个人数据的页面。"

这些工具包还配备了高级规避技术，例如地理围栏、虚假验证码关卡、IP地址黑名单与白名单，以及反检测配置。

马萨达强调，即便某个组织或政府机构出现在模板选项之中，这并不意味着其系统已遭到入侵。

不过，微软威胁情报部门和微软数字犯罪部门的成员在一篇博客文章中写道："这个生态系统的规模与蔓延程度表明，容易获取的犯罪基础设施能够降低犯罪门槛，使技术水平较低的网络犯罪分子也能大规模针对组织发起攻击，从而加剧欺诈损失。"

网络安全卫生习惯的重要性

微软研究人员解释称，在几乎所有被观察到的案例中，钓鱼诱饵都呈现出"典型的诈骗危险信号"：紧迫感和时间敏感性任务。

他们建议，用户应对常见的钓鱼手法有基本的了解，并应接受相关教育：即使是登录已知的安全账户，在点击任何声称可跳转至登录页面的链接之前，都要始终向声称的发送方进行核实。

此外，他们表示，登录提示应清晰标明正在进行身份验证的具体应用程序。研究人员指出，例如自2021年以来，在微软Azure的交互过程中，用户登录时会被提示"取消"或"继续"，但这一提示在钓鱼登录页面中往往是缺失的。

强化凭据和云身份安全对于防御钓鱼攻击也是必要的；研究人员建议，首要措施是在组织内部推广无密码工具，如通行密钥（passkeys）和多因素认证（MFA）。

研究人员指出："运用最小权限原则和零信任原则，可以显著拖慢已获得初始访问权限的威胁行动者的攻击速度，从而为防御人员争取响应时间。"这些措施尤其有助于锁定全局管理员角色。

他们还建议采取其他措施，包括使用微软Authenticator应用程序实现通行密钥和多因素认证；配置Microsoft Defender for Office 365的安全链接策略，使其适用于内部收件人；将多因素认证与条件访问策略相结合；以及仅允许来自受信任位置和设备的多因素认证及通行密钥注册。

Q&A

Q1：Yam Store是什么？

A：Yam Store是一个被微软捣毁的地下犯罪市场，专门从事钓鱼即服务（PhaaS）业务，出售帮助犯罪分子冒充机构、窃取凭据的工具包，曾向全球超过7.5万家组织发送超过10亿条恶意信息。

Q2：微软是如何发现并捣毁这个犯罪网络的？

A：此次调查始于日本国家警察局提供的一条关于欺诈活动的线索，微软联合多家国际执法机构及Resecurity、Cloudflare、Oracle等科技与安全公司，历经近一年调查，并借助AI工具分析识别出看似无关的账户和基础设施，最终揭露并捣毁了整个犯罪市场。

Q3：普通用户该如何防范这类钓鱼攻击？

A：建议用户了解常见钓鱼手法，点击登录链接前务必向发送方核实；同时启用通行密钥和多因素认证（MFA），运用最小权限和零信任原则，并仅允许来自受信任位置和设备的身份验证注册。