收到一封冒充银行的邮件，或一则要求补缴通行费、包裹费用的短信，背后可能不只是单一诈骗者临时架设的网站。微软调查YAM Store、CoGUI与Iron Man后发现，犯罪者可从相关服务取得帐号、网域及仿冒网站工具，再依照目标品牌、产业与国家快速制作钓鱼内容，让诈骗活动形成分工明确的供应链。
微软指出，YAM Store、CoGUI与Iron Man自2026年1月以来，合计促成逾10亿则恶意电子邮件与短信，锁定逾7.5万个组织、遍及150多个国家。微软与日本警察厅从日本诈骗案件追查这些服务，调查并显示其工具与帐号交易如何降低犯罪者大规模发动网钓的门槛。
帐号与网域先行，让仿冒网站更像真的
微软将YAM Store描述为犯罪者取得云端帐号与基础设施的中介平台。调查发现，相关服务涉及不法取得或诈骗取得的微软及Google帐号与网域，并将帐号、授权或保存空间转售给下游犯罪者使用。部分案例中，犯罪者取得合法组织已经到期的网域，重建网站，让虚构或已停止运作的组织看起来仍在营运，再以此创建可供转售的微软365帐号。
这类帐号与网域可让后续钓鱼活动借用较可信的网络身分及云端服务。微软技术分析指出，YAM Store也会透过自动化方式经营帐号与基础设施交易，并接受包括USDT及以太币在内的加密货币付款。
钓鱼工具提供现成网站与冒名样板
在犯罪服务链的下游，CoGUI与Iron Man等工具提供现成的仿冒网站和消息内容。犯罪者可选择要冒充的机构，再套用相应页面与文字，诱使民众输入登录凭证、信用卡数据或其他个人信息。微软列出的冒名对象包括银行、零售商、医疗服务提供者、交通主管机关、警察机关及政府部门。
微软与合作伙伴分析指出，Iron Man工具收录超过2,300种样板，涵盖150多个国家的组织与品牌。Resecurity另公布其查看的Iron Man样板目录包含2,360种样板、涉及130个目标国家或地区；两组数字来自不同来源与统计范围，不宜直接视为完全相同的数据集。
微软指出，CoGUI曾广泛用于锁定日本及美国受害者，2026年年中起，较新的Iron Man工具则逐步增加。样板可依品牌、产业、国家与语言调整，从假冒政府机关要求缴费，到伪装银行、物流或零售服务通知，都能套用现成版型。这种工具化模式不必然要求每一名用户都具备高级技术能力，却能让更多犯罪者以较低成本展开攻击。
服务遭打击后，防护仍须回到帐号与消息查证
微软与Health-ISAC已采取法律行动，查扣并重新导向相关网域；微软另表示已禁用逾2万个YAM Store相关帐号、封锁逾10万个冒名与诈骗网域。不过，犯罪服务可能转移至其他帐号、网域或工具，企业与个人仍须维持基本防护。
微软建议用户不要直接透过消息中的链接登录或付款；遇到限时处理、补缴费用或帐户异常等通知，应改用官方网站、已知电话或既有App自行查证。企业则应强化多因素验证与帐号权限管理，并留意钓鱼消息是否假借组织名称要求提供凭证或付款数据。
需要特别区分的是，诈骗样板出现某个品牌或政府机关名称，只代表犯罪者试图冒用其名义，并不表示该组织的系统遭到入侵。诈骗服务链的关键，在于帐号、网域与钓鱼工具彼此串接；防堵时除了移除单一网站，也需要持续追查支撑诈骗活动的上游资源。