Un milliard de faux e-mails et SMS depuis janvier : Microsoft s'attaque à une filière d'hameçonnage sinophone

Une contravention à régler, un message de transporteur, une alerte de la banque. Selon Microsoft, plus d'un milliard de courriels et de SMS piégés de ce genre sont partis depuis janvier 2026 des outils d'un même écosystème d'hameçonnage (phishing) sinophone. Ils ont visé plus de 75 000 organisations dans le monde.

Le 14 octobre, l'éditeur a annoncé avoir perturbé cet écosystème, avec des forces de l'ordre et plusieurs partenaires privés. Qui se cache derrière ces messages, et qu'a-t-on pu leur prendre ?

Une place de marché et trois kits clés en main

Microsoft distingue deux groupes. Le premier, qu'elle nomme Storm-3119, exploite YAM Store. Cette place de marché souterraine revend des environnements Microsoft et Google compromis ou obtenus frauduleusement : comptes, licences, noms de domaine et espace de stockage. Le second, Storm-2990, réunit les développeurs de trois kits d'hameçonnage vendus comme un service : CoGUI, Haozi et Iron Man System. Proposé depuis juin 2026, Iron Man compte plus de 2 335 modèles de fausses pages couvrant plus de 139 pays, d'après Microsoft.

Les leurres imitent des administrations locales, des services de contraventions ou de stationnement, des transporteurs, des banques et de grandes marques. Pour échapper aux analystes, les kits filtrent les visiteurs (géolocalisation, faux CAPTCHA, listes d'adresses IP). Ils permettent aussi à l'opérateur de suivre sa victime en temps réel.

Le décor, lui, était fourni par le cloud. Microsoft explique que Storm-3119 a créé de fausses organisations, probablement à l'aide de contenus générés par IA et de faux documents, pour ouvrir des environnements cloud d'apparence légitime. Le groupe a ensuite détourné le stockage SharePoint et OneDrive pour héberger ses pages.

Des domaines saisis, aucune arrestation connue

L'enquête est partie de signalements de la police nationale japonaise. Y ont notamment participé Resecurity, Cloudflare, Proofpoint et TRM Labs. Selon BleepingComputer, une décision d'un tribunal fédéral de Floride a permis à Microsoft et à Health-ISAC, l'organisme de partage d'informations du secteur de la santé, de saisir et de rediriger des domaines liés à YAM Store, CoGUI et Iron Man.

Microsoft a désactivé plus de 20 000 comptes liés à YAM Store et bloque plus de 100 000 domaines d'usurpation. Le retrait d'autres infrastructures se poursuit. Côté auteurs, en revanche, les sources consultées ne font état d'aucune arrestation.

Les bons réflexes

Microsoft ne cite pas la France parmi les pays ciblés : le Japon, les États-Unis, l'Australie et l'Inde sont nommés. Mais ces kits se vendent à n'importe quel acheteur, et leurs scénarios rappellent les faux SMS d'amende ou de livraison familiers aux Français. Les recommandations de Microsoft valent donc pour toutes les organisations :

• vérifier toute demande urgente en contactant l'organisme par un canal connu ;
• passer à une authentification résistante à l'hameçonnage, comme les clés d'accès (passkeys), au moins pour les comptes à privilèges ;
• verrouiller les rôles d'administrateur global en appliquant le principe du moindre privilège ;
• n'autoriser l'enregistrement de nouvelles méthodes d'authentification que depuis des appareils et des lieux de confiance.

Le premier réflexe vaut aussi face aux faux appels. Un pirate affirme ainsi détenir 10,3 millions de lignes de données clients de Solutions30, sous-traitant d'Orange et d'Enedis, sans confirmation à ce stade, de quoi rendre crédibles de faux appels de technicien fibre ou Linky.