Microsoft onderneemt samen met Health-ISAC juridische stappen tegen drie onderdelen van een Chineestalig phishingnetwerk. Volgens de Digital Crimes Unit (DCU) van het bedrijf maakte het netwerk sinds januari 2026 meer dan 1 miljard frauduleuze berichten mogelijk, gericht op ruim 75.000 organisaties wereldwijd. Daarbij deden criminelen zich onder meer voor als de Nederlandse Belastingdienst.
Het onderzoek begon met informatie van de Japanse politie. Samen met internationale partners bracht Microsoft vervolgens het bredere netwerk achter de frauduleuze berichten in kaart. De technische bevindingen staan beschreven in het onderzoek The hidden network inside the phishing infrastructure ecosystem powering global cybercrime van Microsoft Threat Intelligence.
Phishing als kant-en-klare dienst
Volgens Microsoft gaat het om een cybercriminele marktplaats waar criminelen kant-en-klare phishingwebsites, accounts en andere hulpmiddelen konden kopen. De juridische stappen richten zich op drie onderdelen van dat netwerk: YAM Store, CoGUI en Iron Man.
Via YAM Store kochten criminelen accounts en infrastructuur. CoGUI en Iron Man leverden de tools om nepwebsites en phishingberichten te maken. Afnemers hoefden de benodigde onderdelen daardoor niet zelf te bouwen, maar konden ze als dienst inkopen.
Belastingdienst nagebootst
Microsoft meldt dat criminelen ruim 2.300 phishingtemplates tot hun beschikking hadden. Daarmee deden ze zich voor als vertrouwde organisaties, zoals pakketdiensten, banken en overheidsinstanties. In Nederland ging het onder meer om de Belastingdienst.
De berichten waren gericht op consumenten en bedrijven. Volgens Microsoft waren onder meer organisaties in de zorg en de financiële sector doelwit. Dat de zorgsector geraakt werd, verklaart de betrokkenheid van Health-ISAC, een organisatie die dreigingsinformatie binnen de zorg deelt.
Domeinen en accounts uitgeschakeld
Microsoft en Health-ISAC hebben via een gerechtelijk bevel domeinen in beslag genomen en omgeleid. Daarnaast schakelde Microsoft naar eigen zeggen ruim 20.000 accounts uit. Het bedrijf geeft aan dat het meer dan 100.000 domeinen blokkeert die voor fraude worden gebruikt.
Met deze aanpak richt Microsoft zich op de infrastructuur achter de campagnes in plaats van op afzonderlijke phishingberichten. Het bedrijf stelt dat juist die infrastructuur online fraude op grote schaal mogelijk maakt. Door de verkopers van accounts, domeinen en tools aan te pakken, beoogt Microsoft het voor afnemers lastiger te maken om nieuwe campagnes op te zetten.
Wat dit betekent voor beheerders
De inzet van templates die bekende afzenders imiteren, laat zien dat phishingcampagnes steeds vaker uit standaardonderdelen bestaan. Dezelfde nepberichten kunnen zo in korte tijd bij duizenden organisaties tegelijk opduiken. Voor beheerders blijven e-mailauthenticatie met SPF, DKIM en DMARC, filtering op verdachte domeinen en bewustwordingstraining voor gebruikers daarom relevante maatregelen. Het uitschakelen van domeinen en accounts verstoort het netwerk, maar betekent niet dat de onderliggende werkwijze verdwijnt.
Het volledige rapport is te lezen via The hidden network inside the phishing infrastructure ecosystem powering global cybercrime.
