微软和Health-ISAC依据美国佛罗里达南区联邦地方法院的命令，查扣并重新导向了支撑YAM Store、CoGUI和Iron Man运作的域名。微软说，已停用与YAM Store相关的2万多个账号，并通过移除其服务上的基础设施、封锁10万多个用于冒名和诈骗的域名，继续拆解这一运营。微软还说，这三项服务只是更大犯罪网络的一部分，但打击这些服务会让犯罪者更难获得所依赖的账号、工具和基础设施。
微软说，这三项服务自2026年1月以来共促成10亿多则恶意消息，针对全球7.5万多个组织，其中7.5亿多则以微软客户为目标。这些消息的对象包括消费者、医疗机构、金融机构和其他企业，遍及150多个国家。微软说，CoGUI提供冒充公司、金融机构、政府部门和其他可信组织的现成网站和消息，犯罪者可用来快速部署窃取密码、付款信息和其他个人数据的页面。
YAM Store的运作方式类似网店，出售微软和Google的欺诈账号及其他现成的诈骗工具。CoGUI曾广泛用于锁定日本和美国的受害者，到2026年年中，新出现的Iron Man在逐渐取代这一工具。微软说，调查人员在Iron Man里找到2,300多个冒充银行、零售商、医疗机构、警察部门、政府机构等组织的样板，涉及150多个国家；这些组织出现在样板里，不代表其系统遭到入侵。
日本警察厅的通报说，这次拆除是微软等在美国提起民事诉讼的结果。警察厅说，从2025年10月起，日本警方与微软、日本网络犯罪控制中心（JC3）一起调查针对日本的钓鱼诈骗，查明了其中的犯罪基础设施；微软等于2026年10月6日向美国法院提起诉讼，8日法院发出命令，并据此实施了拆除。
- 2025年10月警察厅说，日本警方与微软、JC3开始联手调查针对日本的钓鱼诈骗
- 2026年9月警察厅与微软签订网络事件应对协定
- 2026年10月6日警察厅说，微软等向美国法院提起诉讼
- 2026年10月8日警察厅说，法院的命令发布，犯罪基础设施被拆除
- 2026年10月14日微软和Health-ISAC公布行动
- 2026年10月15日日本警察厅发布通报
数据：日本警察厅的通报、微软公布的文章
微软公布的诉讼通知说，案件在佛罗里达南区联邦地方法院审理，被告栏写的是以Yam Store, Inc.名义经营的Yang Jian，以及10名身份不明的被告（Does 1-10）。微软指控被告违反联邦法律和州法律，通过这些域名运行网络犯罪活动。通知说，微软已取得临时限制令，并请求法院发出初步禁令，要求把这些域名转到微软控制之下，和/或使其无法访问和运行；微软还请求终局判决、永久禁令和损害赔偿等。法院已准许以电子方式送达，被告在收到传票后21天内要提出答辩或动议，不答辩的，通知说法院可以作出缺席判决。
Resecurity在2026年10月14日发布的报告中说，Iron Man有2,360套不同的钓鱼页面，涉及130个国家或地区，最晚更新到2026年10月1日。报告还说，如果协同拆除授权主机和构建仓库，再把存储域名接管到不提供内容的服务器上（sinkhole），全部买家的使用会同时受到干扰，而不是一个部署一个部署地受影响。
微软2025年9月16日公布RaccoonO365案时说，法院命令让微软查扣了338个网站，已查明该组织的头目，并向国际执法机构送交了对此人的刑事移送；微软还说，总是预计犯罪者会设法重建运营，因此会在该案中继续采取法律措施，拆除新出现或重新出现的基础设施。微软2026年9月22日公布的EvilTokens案也由微软和Health-ISAC起诉；伦敦警察厅（Metropolitan Police Service）的发言人对媒体证实有两名男子被捕，该警方对媒体说，两人涉嫌制作用于欺诈的物品和洗钱犯罪。
| 案件 | 微软公布日期 | 查扣网站或域名 | 逮捕或刑事移送 |
|---|---|---|---|
| RaccoonO365 | 2025年9月16日 | 338个网站 | 微软说已送交刑事移送 |
| EvilTokens | 2026年9月22日 | 50个网站，另停用150个域名 | 英国警方证实2人被捕 |
| YAM Store、CoGUI、Iron Man | 2026年10月14日 | — | — |
数据：微软文章和诉讼通知；EvilTokens案数字据媒体报道；—表示材料未给出
茉莉花观察
这一节是茉莉花的看法，依据是上文的事实。
我们的分析这次行动打击的是诈骗工具的供货方，而在这个市场里，一项工具被另一项取代已有先例：CoGUI到2026年年中已在被Iron Man逐渐取代。我们认为，诈骗消息仍可能出现：微软说这三项服务只是更大网络的一部分，2025年9月的案子里微软也预计犯罪者会设法重建运营。
不同看法Resecurity说，如果授权主机、构建仓库和存储域名一起被处理，全部买家会同时受到干扰。这一点我们同意，这说明供货环节被拆除的影响面比单个网站大；但我们读到的微软、警察厅和Resecurity的材料没有写到被查扣的域名里有没有授权主机，所以我们仍然认为，同类消息还可能出现。
我们的预判法院是否批准微软请求的初步禁令。我们判断，到2026年11月30日（含当天），佛罗里达南区联邦地方法院会批准初步禁令，因为法院已经批准了临时限制令，也准许以电子方式向被告送达；被告收到传票后21天内不答辩，法院可以作缺席判决。
综合风传媒、Internet Watch、The Record报道
数据：微软、日本警察厅、Resecurity公司
