Microsoft démantèle trois kits de phishing derrière plus d'un milliard de messages frauduleux
CoGUI, Haozi et Iron Man System : trois kits clés en main vendus aux escrocs ont servi à envoyer plus d'un milliard d'e-mails et de SMS piégés depuis janvier. Microsoft et ses partenaires viennent de les perturber.
Plus d’un milliard d’e-mails et de SMS frauduleux, envoyés à plus de 75 000 organisations depuis janvier 2026. Derrière ce chiffre, trois outils d’escroquerie que Microsoft vient de perturber, avec l’aide de plusieurs partenaires. L’annonce date du 14 octobre 2026.
Des kits vendus comme des abonnements
Les trois kits s’appellent CoGUI (aussi connu sous les noms NX ou FA), Haozi (ou Phoenix) et Iron Man System, apparu en juin 2026. Ils fonctionnent comme un service en ligne : on parle de « phishing as a service ».
Un escroc débutant n’a plus besoin de savoir coder. Il achète l’accès, choisit un modèle de faux message et lance l’envoi. Iron Man System propose à lui seul plus de 2 300 modèles de leurres, pour des cibles dans plus de 139 pays. Les faux messages imitent des administrations, des banques, des transporteurs ou de grandes marques.
Quand une victime saisit son mot de passe ou ses données bancaires sur un faux site, ces informations sont transmises en direct à l’escroc. Il est même prévenu par une alerte sur Telegram. Pour passer entre les mailles, les kits utilisent de faux tests anti-robots (CAPTCHA) et des listes d’adresses autorisées ou bloquées.
Une boutique pour tout revendre
Ces kits circulent surtout via YAM Store, une boutique que Microsoft suit sous le nom Storm-3119. Elle revend aussi des environnements Microsoft 365 ou Google compromis ou créés frauduleusement. Les développeurs des kits sont suivis sous le nom Storm-2990. Les paiements se font en cryptomonnaies, ainsi que par Alipay et WeChat Pay.
L’enquête a démarré fin 2025, après des campagnes visant le Japon. Elle a réuni Microsoft (sa division de lutte contre la cybercriminalité), Health-ISAC, le centre japonais JC3 et des entreprises comme Resecurity, Cloudflare, Oracle, Proofpoint et TRM Labs. Environ 17 000 domaines auraient été utilisés au total, selon The Hacker News.
Et en France ?
Les pays les plus touchés sont le Japon, les États-Unis, l’Australie et l’Inde. Microsoft ne cite ni la France ni l’Europe. Cela ne veut pas dire que nous sommes à l’abri : ces kits sont vendus dans le monde entier, et leurs modèles sont facilement adaptés à une autre langue.
Microsoft n’annonce pas d’arrestations. Elle parle d’une perturbation de l’infrastructure. D’autres kits prendront probablement la relève, c’est le jeu du chat et de la souris.
Comment se protéger
Les bons réflexes restent les mêmes, quel que soit le kit :
- Ne cliquez pas sur un lien reçu par e-mail ou SMS qui vous presse d’agir. Allez sur le site officiel en tapant l’adresse vous-même.
- Activez la double authentification sur vos comptes importants, même si un mot de passe est volé, il ne suffit plus.
- Si vous avez saisi un mot de passe sur un site douteux, changez-le tout de suite et regardez les connexions récentes de votre compte.
Pour vous entraîner, lisez notre guide pour reconnaître un faux mail ou un faux SMS en 10 secondes et celui pour activer la double authentification. Si le mal est fait, suivez la marche à suivre après un compte piraté.