從帳號、網域到釣魚網站一條龍！微軟拆解詐騙服務鏈如何冒充銀行、政府與零售品牌

收到一封冒充銀行的郵件，或一則要求補繳通行費、包裹費用的簡訊，背後可能不只是單一詐騙者臨時架設的網站。微軟調查YAM Store、CoGUI與Iron Man後發現，犯罪者可從相關服務取得帳號、網域及仿冒網站工具，再依照目標品牌、產業與國家快速製作釣魚內容，讓詐騙活動形成分工明確的供應鏈。

微軟指出，YAM Store、CoGUI與Iron Man自2026年1月以來，合計促成逾10億則惡意電子郵件與簡訊，鎖定逾7.5萬個組織、遍及150多個國家。微軟與日本警察廳從日本詐騙案件追查這些服務，調查並顯示其工具與帳號交易如何降低犯罪者大規模發動網釣的門檻。

微軟將YAM Store描述為犯罪者取得雲端帳號與基礎設施的中介平台。調查發現，相關服務涉及不法取得或詐騙取得的微軟及Google帳號與網域，並將帳號、授權或儲存空間轉售給下游犯罪者使用。部分案例中，犯罪者取得合法組織已經到期的網域，重建網站，讓虛構或已停止運作的組織看起來仍在營運，再以此建立可供轉售的微軟365帳號。

這類帳號與網域可讓後續釣魚活動借用較可信的網路身分及雲端服務。微軟技術分析指出，YAM Store也會透過自動化方式經營帳號與基礎設施交易，並接受包括USDT及以太幣在內的加密貨幣付款。

在犯罪服務鏈的下游，CoGUI與Iron Man等工具提供現成的仿冒網站和訊息內容。犯罪者可選擇要冒充的機構，再套用相應頁面與文字，誘使民眾輸入登入憑證、信用卡資料或其他個人資訊。微軟列出的冒名對象包括銀行、零售商、醫療服務提供者、交通主管機關、警察機關及政府部門。

微軟與合作夥伴分析指出，Iron Man工具收錄超過2,300種樣板，涵蓋150多個國家的組織與品牌。Resecurity另公布其檢視的Iron Man樣板目錄包含2,360種樣板、涉及130個目標國家或地區；兩組數字來自不同來源與統計範圍，不宜直接視為完全相同的資料集。

微軟指出，CoGUI曾廣泛用於鎖定日本及美國受害者，2026年年中起，較新的Iron Man工具則逐步增加。樣板可依品牌、產業、國家與語言調整，從假冒政府機關要求繳費，到偽裝銀行、物流或零售服務通知，都能套用現成版型。這種工具化模式不必然要求每一名使用者都具備高階技術能力，卻能讓更多犯罪者以較低成本展開攻擊。

微軟與Health-ISAC已採取法律行動，查扣並重新導向相關網域；微軟另表示已停用逾2萬個YAM Store相關帳號、封鎖逾10萬個冒名與詐騙網域。不過，犯罪服務可能轉移至其他帳號、網域或工具，企業與個人仍須維持基本防護。

微軟建議使用者不要直接透過訊息中的連結登入或付款；遇到限時處理、補繳費用或帳戶異常等通知，應改用官方網站、已知電話或既有App自行查證。企業則應強化多因素驗證與帳號權限管理，並留意釣魚訊息是否假借組織名稱要求提供憑證或付款資料。 （相關報導： 日本警察廳線索追出全球詐騙網！微軟打擊中文犯罪服務鏈，揭逾10億則惡意訊息來源 ｜ 更多文章 ）

需要特別區分的是，詐騙樣板出現某個品牌或政府機關名稱，只代表犯罪者試圖冒用其名義，並不表示該組織的系統遭到入侵。詐騙服務鏈的關鍵，在於帳號、網域與釣魚工具彼此串接；防堵時除了移除單一網站，也需要持續追查支撐詐騙活動的上游資源。