Microsoft et Proofpoint perturbent un écosystème de phishing chinois

Microsoft, Proofpoint et plusieurs partenaires ont mené une action coordonnée contre trois kits de phishing en langue chinoise — CoGUI, CoAceV et CoFish_Ws — opérés via les plateformes YAM Store et Iron Man. La source primaire est le billet de la Digital Crimes Unit de Microsoft, Disrupting the service economy behind transnational cybercrime operations (14 octobre), relayé côté français par UnderNews. Ce n'est pas un correctif : il n'y a rien à patcher, mais les équipes qui ont vu ce trafic doivent récupérer les indicateurs publiés.

Ce qui a été perturbé

• YAM Store et Iron Man — les plateformes qui industrialisaient ces campagnes de vol d'identifiants.
• CoGUI, CoAceV, CoFish_Ws — les trois kits distribués à travers cette infrastructure.
• Microsoft a agi par voie civile pour saisir et rediriger les domaines ; les kits sont des plateformes de collecte d'identifiants en temps réel, les opérateurs sollicitant les victimes pour les codes à usage unique, ce qui contourne la MFA par SMS et par application.

L'échelle, selon Proofpoint et Microsoft

• Plus d'un milliard de messages malveillants et plus de 1 300 campagnes depuis janvier 2026.
• Environ 17 000 domaines uniques.
• Plus de 75 000 organisations visées — le Japon en priorité, mais aussi les États-Unis, l'Australie et l'Italie ; la finance et la santé sont les secteurs les plus touchés.
• 66 marques usurpées : Amazon, PayPay, MyJCB, Apple, Rakuten et de grandes banques japonaises.

Attribution

Proofpoint évalue « avec grande confiance » que les trois kits partagent des racines communes et sont utilisés par des affiliés qui se chevauchent. Aucun groupe ni acteur n'est nommément désigné à ce stade — la prudence s'impose, la mutualisation de kits entre affiliés brouillant les frontières habituelles. Ont contribué à l'opération le Japan Cybercrime Control Center (JC3), Resecurity, Cloudflare, Oracle et TRM Labs.

Que faire

1. Revoir la posture MFA face au phishing en temps réel. Les kits qui réclament les codes OTP battent la MFA par SMS et par notification. Priorisez une MFA résistante au phishing (FIDO2/passkeys) pour les comptes à privilèges.
2. Chasser l'usurpation de marque dans votre messagerie : les 66 marques ciblées couvrent banques, e-commerce et services japonais.
3. Récupérer et bloquer les indicateurs publiés par Microsoft et ses partenaires, et confronter vos journaux aux domaines d'usurpation signalés.

Contexte

C'est la même logique que les démantèlements précédents menés par la DCU — saisir l'infrastructure sous décision de justice, couper la boutique. L'effet dure rarement : les opérateurs réenregistrent et rebaptisent. La bascule progressive de CoGUI vers Iron Man montre un marché qui itère plus vite que les tribunaux, et dont le centre de gravité reste le phishing bancaire japonais avant de déborder vers l'Europe.