Microsoft, dünya genelinde 1 milyardan fazla zararlı mesajın gönderilmesine olanak sağlayan dev bir siber suç ekosistemine darbe vurdu. YAM Store, CoGUI ve Iron Man adı verilen platformların altyapısına yönelik operasyonda 20 binden fazla hesap devre dışı bırakılırken, dolandırıcılık amacıyla kullanılan 100 binden fazla alan adı da engellendi.
Microsoft’un Japonya Ulusal Polis Teşkilatı tarafından sağlanan bilgilerle başlattığı soruşturma, ilk etapta Japonya’daki kullanıcıları hedef alan dolandırıcılık mesajlarına odaklanıyordu. Ancak araştırma derinleştikçe olayın çok daha büyük ve küresel ölçekte faaliyet gösteren bir siber suç hizmet ağına uzandığı ortaya çıktı.
Microsoft’un verilerine göre YAM Store, CoGUI ve Iron Man, Ocak 2026’dan bu yana 150’den fazla ülkede 75 binden fazla kuruluşu hedef alan 1 milyardan fazla kötü amaçlı mesajın gönderilmesini mümkün hale getirdi. Bu mesajların 750 milyondan fazlası ise doğrudan Microsoft müşterilerini hedef aldı.
Siber suçlular hazır hesap ve oltalama araçları satın alıyordu
Operasyonun merkezinde yer alan YAM Store, siber suçluların yasa dışı şekilde elde edilen veya sahte yöntemlerle oluşturulan Microsoft ve Google hesaplarına erişebildiği bir pazar yeri olarak kullanılıyordu.
Platform yalnızca hesap satışıyla sınırlı değildi. Siber suçlular burada barındırma altyapısı ve dolandırıcılık operasyonlarını kolaylaştıran çeşitli araçlara da ulaşabiliyordu.
Microsoft, YAM Store’u Storm-3119 adıyla takip ederken, CoGUI, Haozi ve Iron Man gibi oltalama araçlarının geliştiricileri ve bunlarla bağlantılı faaliyetleri Storm-2990 olarak sınıflandırıyor. Şirket, söz konusu oltalama araçlarının Çince konuşan tehdit aktörleri tarafından geliştirilmiş olduğuna yüksek güven duyduğunu belirtiyor.
Bu yapı sayesinde saldırganların teknik açıdan gelişmiş bir altyapıyı sıfırdan kurmasına gerek kalmadan hazır hesaplar, sahte siteler ve oltalama şablonları kullanarak büyük çaplı dolandırıcılık kampanyaları başlatabildiği görülüyor.
Sahte kargo ve ödeme mesajlarıyla kullanıcılar hedef alındı
Siber suç ağının kullandığı yöntemler, kullanıcıların günlük hayatta karşılaşabileceği son derece sıradan bildirimleri taklit ediyordu.
Saldırganlar;
- sahte kargo teslimatı bildirimleri,
- ödeme veya fatura uyarıları,
- gerçekte var olmayan para cezaları,
- banka bildirimleri,
- kamu kurumlarından geliyormuş gibi hazırlanan mesajlar,
- popüler şirket ve çevrim içi hizmetleri taklit eden bağlantılar
gibi yöntemlerle kullanıcıları kandırmaya çalışıyordu.
CoGUI gibi oltalama araçları, saldırganlara gerçek şirketleri ve kurumları taklit eden hazır internet siteleri ve mesajlar oluşturma imkânı sağlıyordu. Amaç ise çoğunlukla kullanıcıların hesap bilgilerini, ödeme verilerini veya diğer kişisel bilgilerini ele geçirmekti.
Microsoft’un soruşturması, bu altyapının sağlık kuruluşlarından finans şirketlerine kadar çok sayıda farklı sektörde kullanıldığını ortaya koydu.
Gerçek kuruluşların alan adları bile dolandırıcılık için kullanıldı
YAM Store’un sunduğu altyapının en dikkat çekici taraflarından biri de gerçek kuruluşlara ait dijital varlıkların kötüye kullanılabilmesiydi.
Microsoft’a göre sistem, ele geçirilmiş veya yasa dışı yollarla elde edilmiş Microsoft 365 ve Azure ortamlarına erişim sağlayabiliyordu. Ayrıca saldırganların gerçek kuruluşları taklit eden internet siteleri ve çevrim içi kimlikler oluşturabilmesine imkân tanıyordu.
Bu yöntem, sıradan bir sahte internet sitesine kıyasla saldırıların çok daha inandırıcı görünmesine yol açabiliyor.
Kullanıcının karşısına tanıdığı bir şirketin logosu, hizmet adı veya gerçek bir kuruma benzeyen alan adı çıktığında saldırının fark edilmesi de zorlaşabiliyor.
Iron Man binlerce sahte şablon sunuyordu
Operasyon kapsamında ortaya çıkarılan araçlardan Iron Man System, saldırganların farklı şirketleri, finans kurumlarını ve kamu kuruluşlarını taklit edebilmesine yönelik hazır şablonlar sunuyordu.
Microsoft’un soruşturması, söz konusu platformların saldırganlara dünya genelindeki meşru marka ve kurumları taklit etmek üzere hazırlanmış çok sayıda şablon sağladığını gösteriyor. Bu sayede aynı altyapı kullanılarak farklı ülkelere ve farklı sektörlere özel dolandırıcılık kampanyaları hazırlanabiliyordu.
Bu tür sistemler, son yıllarda giderek büyüyen “phishing-as-a-service”, yani hizmet olarak oltalama modelinin önemli örneklerinden biri olarak görülüyor.
Modelin en büyük tehlikesi ise ileri düzey teknik bilgiye sahip olmayan suçluların bile hazır araçları satın alarak geniş çaplı saldırılar düzenleyebilmesi.
20 binden fazla hesap kapatıldı
Soruşturmanın ardından Microsoft ve sağlık sektöründeki kuruluşların siber güvenlik dayanışmasına odaklanan kâr amacı gütmeyen Health-ISAC, ABD Florida Güney Bölgesi Federal Mahkemesi’nden alınan karar doğrultusunda YAM Store, CoGUI ve Iron Man altyapısında kullanılan alan adlarına müdahale etti.
Söz konusu alan adlarının bir bölümü ele geçirilerek farklı sunuculara yönlendirildi ve suç ağının altyapıya erişimi ciddi ölçüde kısıtlandı.
Microsoft ayrıca şu ana kadar YAM Store ile bağlantılı 20 binden fazla hesabı devre dışı bıraktığını açıkladı.
Bunun yanında şirket, kimliğe bürünme ve dolandırıcılık faaliyetlerinde kullanılan 100 binden fazla alan adını engelledi.
Operasyon yalnızca Microsoft ve Health-ISAC ile sınırlı kalmadı. Soruşturma kapsamında Japonya Ulusal Polis Teşkilatı ve Japan Cybercrime Control Center’ın yanı sıra Resecurity, Cloudflare, Oracle, Proofpoint ve TRM Labs gibi kuruluşlar da bilgi ve analiz desteği sağladı.
Operatörlerin on milyonlarca dolar kazandığı tahmin ediliyor
Microsoft, ağın yalnızca teknik büyüklüğünün değil ekonomik hacminin de oldukça yüksek olduğuna dikkat çekiyor.
Şirketin açıklamasına göre söz konusu hizmetler, dünyanın farklı bölgelerindeki suçlulara hesap, altyapı ve oltalama araçları sağlayarak operatörlerine on milyonlarca dolar gelir kazandırdı.
Bu durum siber dolandırıcılığın artık yalnızca bireysel saldırganların gerçekleştirdiği tekil operasyonlardan ibaret olmadığını da gösteriyor.
Hazır hesapların, sunucuların, oltalama şablonlarının ve sahte internet sitelerinin ticaretinin yapıldığı profesyonelleşmiş bir yeraltı ekonomisi, saldırıların çok daha hızlı ve büyük ölçeklerde gerçekleştirilmesini mümkün hale getiriyor.
Türkiye’deki kullanıcılar da dikkatli olmalı
Microsoft’un yayımladığı verilerde Türkiye için özel bir saldırı veya mağdur sayısı açıklanmadı. Ancak saldırı altyapısının 150’den fazla ülkede kullanılmış olması, benzer yöntemlerle hazırlanan oltalama mesajlarının küresel ölçekte yayılabildiğini gösteriyor.
Özellikle SMS veya e-posta üzerinden gelen kargo, ödeme, banka hesabı, üyelik yenileme ya da ceza bildirimlerinde kullanıcıların bağlantıya tıklamadan önce mesajın gerçekten ilgili kurumdan gelip gelmediğini kontrol etmesi önem taşıyor.
Şüpheli bir mesajdaki bağlantıya doğrudan tıklamak yerine ilgili şirketin veya kurumun resmi uygulamasını ya da internet sitesini manuel olarak açmak, oltalama saldırılarına karşı alınabilecek en basit önlemlerden biri.
Ayrıca hesaplarda iki aşamalı doğrulamanın kullanılması, benzersiz parolalar tercih edilmesi ve beklenmedik giriş taleplerinin onaylanmaması, ele geçirilen kullanıcı adı ve parolaların saldırganlar tarafından kullanılmasını önemli ölçüde zorlaştırabilir.
Microsoft’un gerçekleştirdiği operasyon suç ağının önemli bir bölümünü devre dışı bırakmış olsa da şirket, YAM Store, CoGUI ve Iron Man’in daha geniş bir uluslararası siber suç ekosisteminin yalnızca bazı parçaları olduğuna dikkat çekiyor. Bu nedenle benzer dolandırıcılık altyapılarının tamamen ortadan kalktığını söylemek henüz mümkün değil.
