Microsoft kaatoi kalasteluverkoston, joka lähetti yli miljardi huijausviestiä
Oikeuden päätös paljastaa, miten yksi vuokrattava rikosalusta ruokki tuhansia erillisiä, toisistaan riippumattomia huijauskampanjoita.
Tiivistelmä
Microsoft kaatoi oikeuden määräyksellä kolme kiinankielistä rikosalustaa, jotka ovat lähettäneet yli miljardi huijausviestiä tammikuusta 2026 lähtien. YAM Store, CoGUI ja Iron Man System myivät valmiita kalastelutyökaluja tuhansille toisistaan riippumattomille rikollisille saman infrastruktuurin alla. Samantyyppistä toimitus- ja viranomaistekeytymistä on varoitettu myös Suomessa, vaikka operaatiota ei ole yhdistetty suoraan suomalaisiin kampanjoihin.
Yli miljardi huijausviestiä on lähtenyt liikkeelle tammikuusta 2026 lähtien kolmen kiinankielisen rikosalustan kautta, kertoo Microsoft.
Yhdysvaltalainen liittovaltiotuomioistuin antoi 14.10.2026 määräyksen, joka pysäytti koko verkoston kerralla.
Microsoftin ja terveydenhuollon tietoturvajärjestö Health-ISACin nostama siviilikanne johti päätökseen, jonka Yhdysvaltain Etelä-Floridan piirioikeus antoi asiassa 1:26-cv-26998-JEM. Määräys oikeutti takavarikoimaan ja uudelleenohjaamaan useita verkkotunnuksia sekä velvoitti hosting-palveluiden tarjoajat sulkemaan niihin liittyviä palvelimia.
Kyse on nimenomaan lokakuisesta oikeustoimesta, ei ajankohdasta, jolloin viestejä lähetettiin.
Viesteistä yli 750 miljoonaa kohdistui nimenomaan Microsoftin omiin asiakkaisiin – osajoukko miljardin viestin kokonaismäärästä, ei siitä erillinen luku. Rikolliset tekeytyivät yli 75 000 organisaatioon yli 150 maassa, Microsoft toteaa.
Kolme alustaa, yksi liiketoimintamalli
YAM Store, jota Microsoft seuraa nimellä Storm-3119, toimi markkinapaikkana varastetuille tai vilpillisesti hankituille Microsoft- ja Google-pilvitileille. Hinta riippui tilin iästä, tilaustyypistä ja ympäristöstä, ja oppilaitosten .edu-tunnuksista ja järjestöjen .org-tunnuksista pyydettiin oma hintansa.
Oikeuden määräyksen jälkeen Microsoft on poistanut käytöstä yli 20 000 tiliä ja estänyt yli 100 000 tekeytymiseen käytettyä verkkotunnusta. Työ jatkuu, eikä lukua ole vielä lyöty lukkoon.
Toinen alusta, CoGUI, tuotti valmiita kalastelusivustoja ja -viestejä, jotka tekeytyivät brändeihin, yrityksiin, viranomaisiin ja rahoituslaitoksiin. Alustaa käytettiin erityisesti Japanissa, kunnes rikolliset siirtyivät kolmanteen työkaluun kuluvan vuoden puoliväliin mennessä.
Kolmas työkalu on Iron Man System: yli 2 300 valmista houkutussivupohjaa, jotka jäljittelevät postiyhtiöitä, liikennesakkojen perintätoimistoja, veroviranomaisia, pankkeja ja teleoperaattoreita. Alustaa myydään maakohtaisella tilauksella 139 maahan, ja käytetyimmät ovat Australia, Japani, Intia ja Yhdysvallat. Tämä maalukema mittaa alustan kielellistä ja maakohtaista räätälöintiä, ei samaa asiaa kuin edellä mainitut yli 150 maata, joissa rikolliset tekeytyivät organisaatioihin.
Kolme alustaa muodostaa rikoksen elinkaaren eri vaiheet. YAM Store toimittaa varastetut tilit, CoGUI ja Iron Man System tuottavat valmiit houkutussivut ja -viestit, ja ostajan tehtäväksi jää vain kohdelistan valinta.
Rikosinfrastruktuuri palveluna (phishing-as-a-service)
Phishing-as-a-service tarkoittaa rikollista liiketoimintamallia, jossa yksi alusta vuokraa valmiit huijaussivupohjat, lähetysjärjestelmät ja verkkotunnukset monille toisistaan riippumattomille rikollisille. Sama tekninen pohja toistuu tuhansissa erilaisilta näyttävissä huijausviesteissä, minkä takia yhden alustan kaataminen voi hiljentää valtaosan niistä kerralla.
Steven Masada, Microsoftin Digital Crimes Unit -yksikön apulaispääneuvonantaja ja johtaja, kuvasi The Recordille, miksi yksittäisen alustan kaataminen vaikuttaa niin laajasti.
– Näiden pakettien avulla rikolliset voivat ottaa nopeasti käyttöön sähköposti-, tekstiviesti- ja verkkosisältöä, joka on räätälöity tietyille brändeille, toimialoille ja maille, Masada sanoi 14.10.2026.
– Ne ovat liikkeellepaneva voima monien tietullihuijausviestien ja väärien toimitussähköpostien takana, joita ihmiset saavat päivittäin tulvanaan, hän jatkoi.
Sama kaava näkyy myös Suomessa
Mikään lähteistä ei yhdistä YAM Storea, CoGUIta tai Iron Man Systemiä suoraan Suomeen kohdistuneisiin kampanjoihin.
Kyberturvallisuuskeskus on silti varoittanut toistuvasti vuoden 2026 viikkokatsauksissaan väärennetyistä toimitusilmoituksista, jotka tekeytyvät Matkahuoltoon, ja Traficomin lähettäjätunnusta koskeva sääntely astui voimaan 4.5.2026 juuri tämän kaltaisen huijatun lähettäjätunnuksen torjumiseksi.
Iron Man Systemin valikoima kattaa juuri sen kolmikon, postiyhtiöt, liikennesakot ja veroviranomaiset, jota suomalaisille lähetetyt huijausviestit ovat toistaneet kuluneen vuoden ajan.
Kyse on siis saman kokoluokan ja liiketoimintamallin infrastruktuurista kuin viestit, joita vastaan Kyberturvallisuuskeskus on jo varoittanut suomalaisia. Operaatiota ei ole vahvistettu kohdistuneen suoraan suomalaisiin käyttäjiin.
Microsoft kutsuu operaatiota ratkaistuksi oikeuden määräyksellä, mutta yhtiö myöntää itse, ettei kalastelupalvelujen liiketoimintamalli katoa yhdellä takavarikolla. Vastaavia alustoja toimii edelleen muualla verkossa.
Tunnistusmerkit
- Odottamaton toimitus-, tietulli- tai veroviranomaisviesti, joka pyytää klikkaamaan linkkiä tai maksamaan pienen summan välittömästi.
- Kiireellisyys ja pienellä painettu uhkaus. Maksuaikaa on vain tunteja, tai paketti väitetään palautettavan lähettäjälle.
- Linkin osoite ei täsmää organisaation viralliseen verkkotunnukseen.
- Kirjautumis- tai MFA-pyyntö, joka ei vastaa odotettua sovellusta tai verkkotunnusta.
Mitä tehdä
Älä klikkaa linkkejä pyytämättömissä toimitus-, tietulli- tai veroviranomaisviesteissä. Mene organisaation omaan sovellukseen tai tunnettuun verkko-osoitteeseen suoraan.
Suhtaudu kiireeseen ja pienellä painettuun uhkaukseen varoitusmerkkinä, ei syynä toimia nopeasti.
Tarkista, että kirjautumis- tai MFA-pyyntö täsmää odotettuun sovellukseen ja verkkotunnukseen täsmälleen.
Ilmoita kalasteluviestistä sekä tekeytymisen kohteeksi joutuneelle organisaatiolle että Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Microsoft On the Issues (14.10.2026)
- Microsoft Security Blog (14.10.2026)
- The Record (14.10.2026)