Operasi Gabungan Global Lumpuhkan Jaringan Kriminal Siber di Balik Pengiriman 1 Miliar Pesan Phishing

Sebuah ekosistem kejahatan siber berskala masif yang memfasilitasi pengiriman lebih dari satu miliar pesan berbahaya ke lebih dari 75.000 organisasi di 150 negara berhasil dilumpuhkan melalui operasi gabungan aparat penegak hukum dan berbagai mitra keamanan global.

Terhitung sejak awal tahun 2026, tercatat lebih dari 750 juta pesan berbahaya dalam kampanye ini secara spesifik diarahkan untuk menyasar para pelanggan Microsoft melalui saluran surat elektronik (email) maupun pesan singkat SMS.

Pengungkapan jaringan ini bermula dari investigasi bersama yang diinisiasi oleh Microsoft dan Badan Kepolisian Nasional Jepang (National Police Agency / NPA) terhadap gelombang aktivitas penipuan siber. Penelusuran tersebut berujung pada ditemukannya sebuah lokapasar kejahatan siber (cybercrime marketplace) berbahasa Mandarin berskala besar yang menyediakan berbagai perangkat (tools) serta layanan terpadu untuk melancarkan kampanye phishing.

Tim investigator berhasil melacak pusat aktivitas berbahaya tersebut ke YAM Store (dilacak dengan kode ancaman Storm-3119), sebuah pasar infrastruktur bawah tanah yang kemudian terhubung erat dengan tiga phishing kit utama, yakni CoGUI, Haozi, dan Iron Man System—yang secara kolektif dilacak di bawah kode Storm-2990.

Modus Operandi YAM Store dan Penyalahgunaan Layanan Cloud

Berdasarkan laporan teknis yang dipublikasikan oleh Microsoft, YAM Store beroperasi dengan memperjualbelikan lingkungan sistem (environments), akun, lisensi, serta ruang penyimpanan milik Microsoft dan Google yang telah diretas atau diperoleh secara curang.

Untuk memuluskan aksinya, para operator di balik YAM Store membeli berbagai nama domain kedaluwarsa (expired domains) milik organisasi atau perusahaan asli. Mereka kemudian membangun ulang situs web di dalamnya agar entitas yang sebenarnya sudah tidak aktif tersebut tampak masih beroperasi secara sah, lalu memanfaatkan identitas palsu itu untuk mendaftarkan akun layanan cloud. Metode lain yang turut terpantau adalah pemanfaatan tools kecerdasan buatan (AI) untuk menciptakan profil organisasi fiktif, lengkap beserta konten situs dan dokumentasi pendukungnya.

Di dalam lingkungan ekosistem Microsoft yang berhasil disusupi, para pelaku menggunakan kredensial aplikasi curian untuk mengelola akun serta lisensi secara ilegal, sekaligus menyalahgunakan ruang penyimpanan SharePoint dan OneDrive sebagai tempat hosting berkas-berkas berbahaya mereka.

Evolusi Phishing Kit dari CoGUI Menuju Iron Man System

Rangkaian phishing kit yang dipasok oleh jaringan ini menawarkan beragam umpan pancingan (lures) bagi para pelaku kejahatan siber, mulai dari tagihan tol yang belum dibayar, denda pelanggaran lalu lintas, kendala pengiriman paket, hingga permintaan verifikasi akun mendesak. Guna menghalangi proses analisis dari tim peneliti keamanan, kit tersebut telah dilengkapi fitur geofencing, gerbang verifikasi CAPTCHA palsu, penyaringan alamat IP (IP filtering), serta berbagai mekanisme penghindaran deteksi lainnya.

Microsoft mencatat bahwa perangkat CoGUI awalnya difokuskan untuk menargetkan korban di wilayah Amerika Serikat dan Jepang. Namun memasuki pertengahan tahun 2026, peran CoGUI mulai tergeser oleh Iron Man System yang hadir jauh lebih agresif dengan menyediakan lebih dari 2.300 template siap pakai untuk menyamar sebagai institusi perbankan, peritel, jasa ekspedisi pengiriman, hingga instansi pemerintah.

Perusahaan keamanan siber Resecurity yang turut berpartisipasi dalam investigasi ini juga membagikan rincian teknis tambahan mengenai Iron Man setelah menganalisis infrastruktur pelaku yang terekspos ke publik, termasuk repositori Git/container registry terbuka yang memuat 911 published builds dan delapan akun terdaftar. Para peneliti juga berhasil mengidentifikasi subsistem pemilihan produk yang terhubung dengan pencurian data kartu pembayaran, yang memuat katalog berisi 2.360 paket phishing untuk mencakup 130 negara atau wilayah dengan pembaruan aktif hingga 1 Oktober 2026.

Dari total ratusan juta pesan yang dikirimkan oleh platform phishing tersebut untuk menyasar pelanggan Microsoft 365, sebagian besar di antaranya diketahui memanfaatkan teknik device-code phishing guna mencuri authentication tokens milik korban secara langsung.

Sebelumnya pada akhir tahun 2024 lalu, firma keamanan enterprise Proofpoint juga sempat mengidentifikasi kampanye email yang secara konsisten menargetkan wilayah Jepang dan terasosiasi dengan phishing kit CoGUI. Aktivitas tersebut berfokus pada pencurian kredensial dan data pembayaran dengan menyamar sebagai perusahaan ternama asal Jepang maupun organisasi internasional. Penyelidikan lebih lanjut mengungkap bahwa lebih dari 17.000 domain telah digunakan oleh tiga varian kit yang dikenal sebagai CoGUI, CoAceV, dan CoFish_Ws, di mana para peneliti menggambarkan operasi ini sangat dinamis dan memiliki sumber daya memadai untuk mengelola infrastruktur phishing dalam skala masif.

Penyitaan Domain dan Pemblokiran Ratusan Ribu Infrastruktur

Sebagai langkah penindakan tegas, berdasarkan perintah resmi dari Pengadilan Distrik AS untuk Distrik Selatan Florida (U.S. District Court for the Southern District of Florida), Microsoft bersama Health-ISAC telah menyita dan mengalihkan (redirect) berbagai domain utama yang menopang operasional YAM Store, CoGUI, serta Iron Man.

Selain penyitaan jalur domain utama, Microsoft juga menonaktifkan lebih dari 20.000 akun yang terasosiasi dengan YAM Store serta memblokir sedikitnya 100.000 domain yang digunakan oleh para penjahat siber tersebut untuk melakukan penyamaran institusi dan aksi penipuan.

Saat ini, proses pembersihan dan penghapusan infrastruktur jaringan tersisa masih terus berlangsung berdasarkan temuan hasil investigasi kolaboratif yang turut melibatkan otoritas kepolisian Jepang, Japan Cybercrime Control Center (JC3), Resecurity, Cloudflare, Oracle, Proofpoint, serta TRM Labs.

Sumber: Microsoft Security Blog