Des environnements cloud d’organisations, y compris dans l’éducation, peuvent être détournés puis revendus comme infrastructure à des opérateurs de kits de hameçonnage. Dans une enquête publiée le 14 octobre, Microsoft décrit une chaîne reliant un marché clandestin, plusieurs outils de fraude et des campagnes visant des organisations dans différents pays.
Un marché fournit comptes, licences et stockage
Microsoft suit le marché clandestin YAM Store sous le nom Storm-3119. Selon son analyse, il revend à d’autres acteurs des accès à des environnements cloud compromis ou obtenus frauduleusement. Certains comprennent des comptes, des licences ou du stockage associés à Microsoft 365 et Azure for Education.
Ce rôle d’intermédiaire permet de séparer l’accès à l’infrastructure de la campagne de fraude elle-même. Microsoft indique que des opérateurs pouvaient utiliser des espaces de stockage compromis pour héberger des pages de hameçonnage, tandis que des kits spécialisés fournissaient les leurres et les outils de collecte. L’infrastructure ne se limite pas aux services d’un seul fournisseur, précise l’entreprise.
Des kits vendus à plusieurs opérateurs
Microsoft et Resecurity disent avoir identifié trois kits vendus via YAM Store : CoGUI, également appelé NX ou FA, Haozi, aussi nommé Phoenix, et Iron Man System. Microsoft regroupe leurs développeurs sous le nom Storm-2990. Les kits proposent des modèles de messages qui imitent des marques ou des organismes connus afin d’inciter leurs destinataires à communiquer des identifiants ou des données de paiement.
Selon Microsoft, depuis janvier 2026, les opérateurs liés à ces kits ont facilité l’envoi de plus d’un milliard de courriels et de SMS visant plus de 75 000 organisations dans le monde. L’entreprise rapporte des activités touchant notamment les secteurs de la santé, de la finance, de la distribution en gros et de l’informatique au Japon, aux États-Unis, en Australie et en Inde.
La perturbation annoncée ne signifie pas la fin du réseau
Microsoft indique que sa Digital Crimes Unit a contribué, avec des autorités et des partenaires internationaux, à perturber des développeurs et des infrastructures liés à l’écosystème. L’entreprise ne chiffre pas l’effet durable de cette action et ne dit pas que toutes les activités ont cessé. Son enquête montre comment un marché d’accès, des services cloud détournés et des kits de fraude peuvent se compléter.
Pour les équipes d’un organisme, le cas rappelle qu’un compte ou un espace cloud peut servir à autre chose qu’à consulter ses propres fichiers lorsqu’il est compromis : il peut devenir une ressource utilisée dans une fraude dirigée contre d’autres personnes. Microsoft recommande notamment de vérifier une demande urgente en contactant l’expéditeur présumé par un canal obtenu séparément et de sensibiliser les utilisateurs au hameçonnage.
Sources de référence
À retenir
Microsoft décrit YAM Store, suivi comme Storm-3119, comme un marché revendant des environnements cloud compromis ou frauduleux à des opérateurs de kits de hameçonnage suivis comme Storm-2990. L’entreprise rapporte plus d’un milliard de courriels et SMS facilités depuis janvier 2026, visant plus de 75 000 organisations.
