Microsoft en Health-ISAC hebben samen met de Japan Cybercrime Control Center (JC3) en een coalitie van private partijen de verstoring aangekondigd van drie phishingkits. Deze systemen, gekoppeld aan een ondergrondse “phishing-as-a-service” economie, werden volgens Microsoft ingezet om enorm veel berichten te versturen naar tienduizenden organisaties wereldwijd.
De gezamenlijke actie kwam voort uit een onderzoek dat Microsoft eind 2025 startte, nadat er signalen waren van kwaadwillende campagnes richting mensen in Japan. In de periode sinds januari 2026 schatten onderzoekers dat de daders achter de kits betrokken waren bij het ondersteunen van meer dan één miljard phishing-e-mails en sms-berichten naar ruim 75.000 organisaties.
Drie phishingkits uitgeschakeld: CoGUI, Haozi en Iron Man
De verstoring richt zich op drie phishingkits: CoGUI (ook bekend als NX of FA), Haozi (Phoenix) en Iron Man System. Microsoft spreekt over een court-authorized operatie, gebaseerd op een onderzoek dat na meldingen over campagnes in Japan werd opgeschaald.
Volgens de informatie wordt het einddoel van deze phishingkits vrijwel altijd hetzelfde: het aanbieden van kant-en-klare phishingtemplates die lijken op legitieme merken en organisaties. Daarmee kunnen aanvallers op grote schaal inloggegevens en financiële gegevens proberen te stelen.
Ondergrondse marktplaats: YAM Store als centrale schakel
Een belangrijk onderdeel van het verhaal is de rol van een ondergrondse marktplaats: YAM Store. In de berichtgeving wordt YAM Store beschreven als een handelsplek binnen het Chinese-language cybercriminal ecosysteem, met onder meer phishingkit-ontwikkelaars, operators en zogenaamde initial access brokers (IAB’s).
Microsoft volgt de marktplaats en de bijbehorende actoren onder specifieke namen: de marktplaats wordt gelinkt aan tracking als Storm-3119, terwijl de ontwikkelaars achter de phishingkits worden gevolgd als Storm-2990. Daarnaast wijzen de onderzoekers op overlap in mogelijkheden en infrastructuur tussen de drie kits, wat kan duiden op gedeelde ontwikkeling of hergebruik van code.
Van cloud-omgevingen naar bulk-phishing
Phishingkits draaien zelden “alleen”. In dit geval wordt benadrukt dat aanvallers toegang kochten tot (gecompromitteerde of frauduleus verkregen) omgevingen in Microsoft of Google cloud-omgevingen om grootschalige phishingaanvallen te ondersteunen.
Een van de beschreven tactieken bij Storm-3119 is het gebruiken van automatisering voor reconnaissance: namen van verlopen of bestaande omgevingen herkennen, cloud-geschakelde profielen identificeren en vervolgens Microsoft 365 tenants ontdekken. Dat gebeurt volgens de berichtgeving anoniem via Tor-infrastructuur.
Overname en misbruik van Microsoft 365
Na identificatie wordt het doel volgens de toelichting overgenomen en beheerd met app-only administratieve panelen, gebouwd met onder meer PHP, Java/Spring en Cloudflare Workers. Vervolgens proberen aanvallers zich in de gecompromitteerde tenant te verankeren door ruime rechten te verkrijgen via Microsoft Graph en volledige controle over de SharePoint API.
De onderzoekers koppelen dit aan misbruik van SharePoint en OneDrive als bulk-hosting voor phishingcontent. In praktijktermen betekent dit: de aanvaller kan “opslag” en contentstromen ombuigen tot iets wat opnieuw te verkopen is aan andere criminelen.
Beveiligingsdetails: hoe de kits slachtoffers filteren en meten
Om detectie te omzeilen en effectiviteit te vergroten, worden meerdere evasion- en trackingmechanismen genoemd. Zo zouden de kits bijvoorbeeld fake CAPTCHA-poorten inzetten om geautomatiseerd browsen te beperken. Daarnaast worden IP-gebaseerde block- en allowlists genoemd.
Ook operationele meldingen spelen mee: Telegram-alerts zouden operators informeren zodra een slachtoffer daadwerkelijk op een phishing-lure reageert.
Verder wordt beschreven dat informatie die op de phishingpagina wordt ingevoerd, wordt afgevangen via WebSocket. Daarmee kunnen aanvallers realtime de voortgang bekijken en beslissen wat de volgende stap richting het doelwit is.
Waarom dit voor organisaties urgent is
De melding is niet alleen “nieuws over cybercrime”, maar ook een directe waarschuwing voor organisaties die met identity- en cloudtoegang werken. Als phishingkits gekoppeld worden aan het overnemen van Microsoft 365-omgevingen en het misbruiken van rechten, dan ontstaat er een risico dat verder gaat dan één mailbox of één gebruikersaccount.
Microsoft benadrukt ook dat het verstoren van kits en infrastructuur de drempel verhoogt om accounts, tools en benodigde faciliteiten te verkrijgen. In veel gevallen, zo wordt gesteld, is de phishingboodschap vaak het enige zichtbare onderdeel voor het slachtoffer—terwijl het “bedrijf erachter” pas de schaal mogelijk maakt.
CoGUI als voorbeeld: merken, domeinen en varianten
Proofpoint beschreef CoGUI al eerder (mei 2025) met een focus op Japanse organisaties. Daarbij zouden aanvallers zich voordoen als bekende consumenten- en financiële merken, waaronder onder meer Amazon, PayPay, MyJCB, Apple, Orico en Rakuten.
De kit zou volgens de berichtgeving actief zijn in campagnes sinds ten minste oktober 2024. Daarnaast wordt gemeld dat CoGUI varianten heeft voortgebracht: CoAceV en CoFish_Ws. In totaal zouden de drie kits samen rond 17.000 unieke domeinen hebben gebruikt.
In de periode richting mid-2026 zou CoGUI bovendien meer en meer worden vervangen door Iron Man System, zoals TRM Labs rapporteerde.
Iron Man System: veel templates en doelgroepbeperkingen
Iron Man System wordt in de aankondiging omschreven als een kit met meer dan 2.335 phishingtemplates, toegesneden op het imiteren van vertrouwde organisaties en merken in 139 landen. Tegelijk zouden er stappen zijn ingebouwd om de toegang tot phishingcontent te beperken tot gebruikers uit geselecteerde landen.
Daarnaast noemt Resecurity dat zij een licentie heeft aangeschaft en de kit in een geïsoleerd lab heeft uitgerold. In die opstelling zouden er 2.360 lure-pakketten zijn gevonden die onder meer gericht zijn op domeinen als postdiensten, belasting, bankieren, telecom en loyaliteitsprogramma’s, verspreid over 130 landen en regio’s.
Afhankelijkheid van een licentieserver
Een opvallend detail is dat de kit volgens Resecurity regelmatig contact moet maken met een licentie- of autorisatieserver om te blijven werken. Dat kan voor verdedigers een voordeel zijn: wanneer een authorization host wordt uitgezet of gesinkholet, zou elke actieve deployment degraderen—niet alleen de onderzochte instantie.
Wat betekent dit voor je eigen aanpak?
Als phishingkits zich koppelen aan cloud-omgevingen, dan zijn preventie en detectie twee kanten van dezelfde medaille. Richt je daarom op maatregelen die zowel de herkenning van phishingaanvallen als de bescherming van identity en cloudrechten verbeteren.
Praktisch helpt het om phishingaanvallen te beperken met strakkere e-mail- en browserverificatie, gebruikers bewust te maken van moderne scams, en vooral om te bewaken dat toegang tot Microsoft 365 niet ongemerkt kan escaleren. Denk daarbij aan monitoring van consent en Graph-permissies, het beperken van overmatige rechten en het tijdig reageren op verdachte login- of tokenpatronen.
Voor aanvullende context over de bredere aanpak rond phishing en identiteitsrisico’s kun je ook kijken naar het artikel over Zero Trust en Identity.
Verken de bredere trend: meer phishing-as-a-service
De verstoring van CoGUI, Haozi en Iron Man laat zien dat cybercriminelen niet alleen “kits” gebruiken, maar ook hele operationele ketens. Denk aan marktplaatsen, toegangsbemiddeling en het hergebruik van infrastructuur.
Microsoft wees daarnaast eerder op andere phishing- of misbruikketens. Als je wilt zien hoe Microsoft omgaat met aanvallen op berichtenstromen en delivery-kanalen, dan is het relevant om ook het bericht over Microsoft dat phishingmarkt verstoort achter 1 miljard berichten mee te nemen in je beeld.
Tot slot: de aankondiging staat niet op zichzelf. Kort na eerdere acties laat deze verstoring zien dat verdedigers steeds vaker niet alleen de eindpayload pakken, maar juist de onderliggende dienstverlening en infrastructuur die schaal geeft aan phishing.
Conclusie
Met de verstoring van CoGUI, Haozi en Iron Man System zet Microsoft samen met partners een stap tegen phishingkits miljard berichten die sinds januari 2026 betrokken zouden zijn bij het ondersteunen van aanvallen via meer dan één miljard e-mails en sms-berichten. De aanpak richt zich nadrukkelijk op de complete keten: kits, een ondergrondse marktplaats en het misbruik van cloud-omgevingen.
Voor organisaties is de boodschap helder: bescherm identity en cloudrechten, verbeter detectie op afwijkend gedrag en ga uit van phishing op schaal. Alleen zo verklein je de kans dat een “scam message” ook echt kan uitgroeien tot datadiefstal en financiële schade.
Bron: https://thehackernews.com/2026/10/microsoft-disrupts-3-phishing-kits.html
