Microsoft bersama Health-ISAC mengumumkan pembongkaran terhadap tiga layanan yang disebut menopang ekosistem phishing-as-a-service: YAM Store, CoGUI, dan Iron Man. Pengumuman tersebut disampaikan pada 14 Oktober 2026 berdasarkan perintah pengadilan federal Amerika Serikat.
Dalam investigasi yang turut didukung Badan Kepolisian Nasional Jepang, Japan Cybercrime Control Center, serta sejumlah perusahaan keamanan, ketiga layanan itu disebut telah memfasilitasi pengiriman lebih dari 1 miliar pesan berbahaya sejak Januari 2026. Pesan tersebut menargetkan lebih dari 75.000 organisasi di lebih dari 150 negara.
Microsoft menyatakan lebih dari 750 juta pesan di antaranya menargetkan pelanggan Microsoft. Perusahaan itu juga melaporkan telah menonaktifkan lebih dari 20.000 akun yang berkaitan dengan YAM Store dan memblokir lebih dari 100.000 domain yang digunakan untuk peniruan identitas serta penipuan.
Investigasi berawal dari kampanye terhadap masyarakat Jepang
Menurut keterangan dalam laporan investigasi, keterlibatan otoritas Jepang bermula dari penyelidikan terhadap kampanye penipuan yang menyasar masyarakat Jepang. Temuan tersebut kemudian membantu mengungkap keterkaitan antara sejumlah layanan yang menyediakan akun, infrastruktur, situs palsu, dan materi komunikasi untuk operasi phishing.
Dukungan Badan Kepolisian Nasional Jepang dan Japan Cybercrime Control Center menunjukkan bahwa operasi semacam ini tidak terbatas pada satu negara. Infrastruktur yang digunakan dapat melayani pelaku di berbagai wilayah, sementara pesan penipuan dikirim kepada organisasi dan pengguna di banyak yurisdiksi.
Tindakan hukum terhadap infrastruktur tersebut dilakukan melalui perintah pengadilan federal Amerika Serikat. Microsoft menyebut langkah itu sebagai bagian dari upaya untuk mengganggu layanan yang memungkinkan pelaku lain menjalankan kampanye phishing tanpa harus membangun seluruh perangkat operasional sendiri.
Peran YAM Store, CoGUI, dan Iron Man
YAM Store berfungsi sebagai pasar bagi akun Microsoft dan Google yang diperoleh secara ilegal. Selain akun, layanan ini juga menyediakan infrastruktur pendukung yang dapat digunakan untuk operasi penipuan.
Keberadaan pasar semacam itu membuat akun yang telah dikompromikan dapat diperdagangkan dan dimanfaatkan kembali. Akun-akun tersebut berpotensi membantu pelaku menyamarkan aktivitas, menyebarkan pesan, atau membuat komunikasi penipuan terlihat lebih meyakinkan. Namun, angka investigasi yang tersedia tidak merinci jumlah akun yang berhasil digunakan dalam setiap kampanye.
CoGUI dan Iron Man memiliki fungsi yang berbeda dalam ekosistem tersebut. Keduanya disebut menyediakan situs palsu, pesan penipuan, serta templat yang meniru bank, perusahaan, lembaga pemerintah, layanan kesehatan, dan organisasi tepercaya lainnya.
Dengan tersedianya templat dan situs siap pakai, pelaku tidak perlu mengembangkan seluruh materi penipuan dari awal. Model ini memperlihatkan ciri utama phishing-as-a-service, yakni penyediaan komponen serangan sebagai layanan yang dapat dipakai oleh pelaku lain.
Lebih dari 1 miliar pesan difasilitasi
Microsoft menyatakan bahwa sejak Januari 2026, YAM Store, CoGUI, dan Iron Man telah membantu memfasilitasi lebih dari 1 miliar pesan berbahaya. Pesan tersebut diarahkan kepada lebih dari 75.000 organisasi di lebih dari 150 negara.
Lebih dari 750 juta pesan disebut menargetkan pelanggan Microsoft. Angka ini menunjukkan skala operasi yang luas dan tingginya volume komunikasi yang dapat dihasilkan oleh ekosistem layanan phishing.
Meski demikian, jumlah pesan yang difasilitasi tidak sama dengan jumlah korban. Satu pesan belum tentu dibuka, diikuti, atau menyebabkan akun dan data seseorang jatuh ke tangan pelaku. Demikian pula, angka tersebut bukan ukuran kerugian finansial yang telah dipastikan.
Perbedaan ini penting karena data mengenai volume pesan menggambarkan kapasitas dan jangkauan infrastruktur, bukan hasil akhir setiap upaya penipuan. Jumlah organisasi yang ditargetkan juga tidak otomatis menunjukkan bahwa seluruh organisasi mengalami kompromi.
Langkah yang diambil Microsoft
Sebagai bagian dari tindakan tersebut, Microsoft menyatakan telah menonaktifkan lebih dari 20.000 akun yang terkait dengan YAM Store. Perusahaan juga memblokir lebih dari 100.000 domain yang digunakan untuk peniruan identitas dan penipuan.
Penonaktifan akun dan pemblokiran domain ditujukan untuk mengurangi kemampuan layanan terkait dalam mengirimkan pesan atau menampilkan halaman yang menyamar sebagai organisasi tepercaya. Langkah ini juga dapat menghambat penggunaan kembali aset digital yang telah diidentifikasi dalam investigasi.
Namun, pembongkaran satu kelompok layanan tidak berarti seluruh ancaman phishing berhenti. Laporan ini justru menggambarkan bahwa ekosistem tersebut tersusun dari beberapa komponen yang saling melengkapi: pasar akun, penyedia situs, templat, pesan, dan infrastruktur pendukung.
Phishing-as-a-service semakin terorganisasi
Kasus YAM Store, CoGUI, dan Iron Man memperlihatkan perubahan dalam cara operasi phishing dijalankan. Pelaku tidak selalu bekerja sebagai kelompok yang membangun sendiri seluruh alat serangan. Sebagian dapat memperoleh akses ke layanan yang sudah menyediakan bahan dan sarana untuk menjalankan kampanye.
Model tersebut menyerupai pembagian layanan. Satu pihak menyediakan akun, pihak lain menyiapkan situs atau templat, sementara pengguna layanan menjalankan kampanye terhadap target yang dipilih. Pembagian peran ini dapat memperluas jumlah pelaku yang mampu melakukan penipuan dan mempercepat pembuatan kampanye baru.
Peniruan terhadap bank, perusahaan, lembaga pemerintah, layanan kesehatan, dan organisasi lain juga menunjukkan bahwa kepercayaan menjadi unsur penting dalam strategi phishing. Pesan yang terlihat berkaitan dengan layanan yang dikenal dapat mendorong penerima untuk berinteraksi, meski keberhasilan setiap pesan tidak dapat disimpulkan dari angka yang diumumkan Microsoft.
Makna pengungkapan ini bagi organisasi
Bagi organisasi, pengungkapan tersebut menegaskan pentingnya memandang phishing sebagai ancaman terhadap ekosistem, bukan sekadar pesan mencurigakan yang muncul secara terpisah. Infrastruktur pendukung dapat mencakup akun yang dicuri, domain penipuan, situs tiruan, dan templat komunikasi.
Informasi mengenai lebih dari 100.000 domain yang diblokir juga menunjukkan bahwa penanganan phishing memerlukan pemantauan berkelanjutan. Domain dan akun dapat berganti, sementara materi penipuan dapat disesuaikan untuk meniru organisasi atau layanan yang berbeda.
Microsoft belum menyatakan dalam informasi yang tersedia berapa jumlah korban pasti atau berapa nilai kerugian finansial yang timbul dari kampanye tersebut. Karena itu, dampak kasus ini sebaiknya dibaca berdasarkan skala infrastruktur dan volume pesan yang diklaim telah difasilitasi, bukan sebagai angka korban atau kerugian terverifikasi.
Pembongkaran YAM Store, CoGUI, dan Iron Man menjadi salah satu contoh bagaimana penegak hukum, penyedia teknologi, organisasi sektor kesehatan, dan perusahaan keamanan dapat bekerja sama untuk mengganggu layanan yang mendukung phishing. Investigasi lintas negara juga diperlukan karena pesan dan infrastruktur dalam ekosistem tersebut menjangkau banyak organisasi di berbagai wilayah.
