YAM Store est une place de marché cybercriminelle que Microsoft désigne sous le nom Storm-3119 : elle vendait l'accès à des comptes Microsoft 365 et Google compromis ainsi que des kits de phishing clé en main. Microsoft et l'association sectorielle Health-ISAC ont obtenu, le 7 octobre 2026, une ordonnance d'un tribunal fédéral américain autorisant la saisie et la redirection des domaines de cette infrastructure, utilisée depuis janvier 2026 pour diffuser plus d'un milliard de messages de phishing dans plus de 150 pays.
Qu'est-ce que YAM Store, la place de marché démantelée ?
Selon le billet officiel de Microsoft Threat Intelligence, YAM Store fonctionnait comme un courtier d'accès initial : elle revendait des comptes Microsoft 365, Azure for Education et Google obtenus ou détournés frauduleusement, ainsi que l'infrastructure nécessaire pour mener des campagnes de phishing à grande échelle. Microsoft attribue le développement des kits associés, nommés CoGUI, Haozi et Iron Man System, à un acteur distinct qu'elle suit sous le nom Storm-2990, évalué avec un haut niveau de confiance comme sinophone.
Depuis janvier 2026, cet écosystème aurait permis l'envoi de plus d'un milliard de messages de phishing par e-mail et SMS, visant plus de 75 000 organisations dans plus de 150 pays, dont environ 750 millions de messages ciblant spécifiquement des clients Microsoft. Le Japon et les États-Unis figurent parmi les cibles les plus touchées, devant l'Australie et l'Inde.
À retenir : YAM Store ne menait pas elle-même les campagnes de phishing. Elle fournissait l'accès et l'outillage à d'autres cybercriminels, un modèle de type « phishing-as-a-service » qui démultiplie le nombre d'attaquants capables de mener une campagne crédible sans compétence technique avancée.
Comment fonctionne un kit de phishing-as-a-service ?
D'après Microsoft, les kits vendus par Storm-2990 fonctionnent sur un modèle d'abonnement : chaque kit intègre un domaine de serveur de licences codé en dur et des fonctions d'évasion telles que le filtrage géographique, de fausses pages CAPTCHA et des listes blanches ou noires d'adresses IP, destinées à tromper les analystes et les robots de détection.
Leur particularité la plus préoccupante tient à l'interaction en temps réel : une connexion WebSocket permet à l'opérateur du kit de suivre la victime pendant qu'elle remplit le faux formulaire, et d'adapter dynamiquement ce qu'elle voit. Un bot Telegram relaie immédiatement à l'attaquant les identifiants saisis, les données de carte bancaire et surtout les codes de vérification à usage unique (OTP), ce qui lui laisse une fenêtre de quelques secondes pour les réutiliser avant qu'ils n'expirent.
| Kit | Opérateur désigné par Microsoft | Particularité rapportée |
|---|---|---|
| CoGUI (alias NX, FA) | Storm-2990 | Cible le Japon depuis 2024 selon des recherches antérieures de Proofpoint |
| Haozi (alias Phoenix) | Storm-2990 | Vendu en marque blanche à d'autres opérateurs |
| Iron Man System | Storm-2990 | Commercialisé depuis juin 2026, plus de 2 300 modèles de pages couvrant une large zone géographique |
Microsoft précise que les panneaux d'administration de ces kits sont majoritairement hébergés chez des fournisseurs basés en Chine, et qu'une partie de l'infrastructure DNS et d'hébergement utilisée par les attaquants transitait par des services de réseau de diffusion de contenu largement répandus, dont Cloudflare, sans que cela n'implique une quelconque complicité de ces prestataires.
Quelle a été la riposte judiciaire de Microsoft ?
Microsoft et Health-ISAC, co-plaignants, ont porté l'affaire devant le tribunal fédéral du district sud de la Floride, qui a accordé le 7 octobre 2026 une ordonnance autorisant la saisie et la redirection des noms de domaine liés à YAM Store. L'enquête a été déclenchée par un signalement initial de l'agence nationale de la police japonaise, avec l'appui du Japan Cybercrime Control Center.
Microsoft indique avoir désactivé plus de 20 000 comptes frauduleux liés à l'opération et bloquer plus de 100 000 domaines utilisés pour l'usurpation de banques, de services de livraison, d'administrations et de forces de police. La société TRM Labs a fourni le renseignement blockchain ayant permis de localiser une partie des flux financiers de l'opération, tandis que Resecurity a contribué à la recherche technique.
À retenir : Steven Masada, de la Digital Crimes Unit de Microsoft, résume l'ampleur du phénomène ainsi : « depuis janvier 2026, YAM Store, CoGUI et Iron Man ont collectivement permis l'envoi de plus d'un milliard de messages malveillants ».
Comment se protéger du phishing-as-a-service ?
Face à des kits conçus pour contourner les vérifications classiques, Microsoft recommande d'abord de ne jamais traiter une demande urgente reçue par e-mail ou SMS sans la vérifier directement auprès de l'expéditeur présumé, via un canal déjà connu, plutôt qu'en suivant un lien du message. L'analyse d'un e-mail de phishing avant d'agir reste le réflexe de base, et un analyseur d'e-mail suspect permet d'examiner les en-têtes et les liens sans prendre de risque.
Pour limiter l'impact d'un vol d'identifiants ou de code OTP, Microsoft recommande l'usage de passkeys et d'une authentification multifacteur couplée à l'accès conditionnel, avec une MFA résistante au phishing pour les comptes à privilèges, et de restreindre l'enregistrement des facteurs d'authentification aux appareils et emplacements de confiance. L'application du principe du moindre privilège limite le nombre de comptes disposant du rôle Administrateur Global, une cible prioritaire pour ce type d'opération.
Côté messagerie, l'activation de Safe Links pour les destinataires internes dans Defender for Office 365 et de la protection réseau contre les domaines malveillants réduit l'exposition. Un décodeur de liens protégés aide à vérifier la destination réelle d'un lien avant de cliquer, et comprendre des techniques comme ClickFix ou le whaling visant les dirigeants complète la sensibilisation des équipes les plus exposées.
Points clés
- YAM Store (Storm-3119) revendait des comptes Microsoft 365 et Google compromis ainsi que des kits de phishing (CoGUI, Haozi, Iron Man) développés par Storm-2990.
- Plus d'un milliard de messages de phishing ont été envoyés depuis janvier 2026, dont 750 millions ciblant des clients Microsoft, dans plus de 150 pays.
- Les kits volent les codes OTP en temps réel via une interaction WebSocket et des alertes Telegram, laissant une fenêtre très courte à l'attaquant.
- Un tribunal fédéral du district sud de la Floride a autorisé, le 7 octobre 2026, la saisie des domaines de YAM Store ; Microsoft a désactivé plus de 20 000 comptes liés à l'opération.
- Passkeys, MFA résistante au phishing et vérification systématique par un canal connu restent les meilleures défenses contre ce type de kit.