Betrugs-SMS: Microsoft und Japans Polizei zerschlagen Milliarden-Netzwerk

In einer international koordinierten Aktion haben Microsoft, die Nationale Polizeibehörde Japans sowie weitere Cybersicherheitspartner eine weit verzweigte kriminelle Infrastruktur zerschlagen. Das Netzwerk war für den Versand von über einer Milliarde betrügerischer Kurzmitteilungen verantwortlich.

Rechtliche Grundlage des Zugriffs am 14. Oktober 2026 war ein Notbeschlagnahmebefehl des US-Bezirksgerichts für den südlichen Bezirk von Florida, der den Zugriff auf Server, Domains und kriminelle Softwarewerkzeuge ermöglichte.

Gewaltiges Ausmaß mit weltweiten Opfern

Die Dimensionen der Aktivitäten waren enorm: Nach Angaben der beteiligten Akteure richteten sich die Angriffe gegen mehr als 75.000 Organisationen in über 150 Ländern. Allein seit Januar 2026 verschickten die Hinterleute über eine Milliarde bösartige Nachrichten, wobei häufig die Identitäten bekannter Technologiekonzerne wie Amazon und Apple missbraucht wurden.

Mehr als 750 Millionen dieser Mitteilungen zielten direkt auf Microsoft-Kunden ab. Durch die illegalen Kampagnen erwirtschafteten die Betreiber Einnahmen in zweistelliger Millionenhöhe. Im Rahmen des behördlichen Einschreitens wurden über 20.000 illegale Cloud-Konten deaktiviert und rund 100.000 betrügerische Webadressen blockiert.

Angesichts der Milliarden von Phishing-Nachrichten ist ein präventiver Schutz für Unternehmen und deren Verantwortliche wichtiger denn je. Dieser kostenlose Leitfaden zeigt in vier Schritten, wie Sie Phishing-Angriffe stoppen können, bevor sie zum Risiko werden. Anti-Phishing-Paket jetzt gratis herunterladen

Zentraler Marktplatz und automatisierte Phishing-Baukästen

Im Zentrum der zerschlagenen Operation stand der illegale Online-Marktplatz YAM Store, der in Sicherheitskreisen unter der Kennung Storm-3119 geführt wird, sowie drei spezialisierte Phishing-Baukästen mit den Bezeichnungen Iron Man System (Storm-2990), CoGUI und Haozi. Zusammen enthielten diese Werkzeuge über 2.335 bösartige Vorlagen.

Über den Marktplatz YAM Store konnten Betrüger kompromittierte sowie gefälschte Benutzerkonten von Microsoft und Google erwerben, um damit gezielte Betrugsnachrichten zu versenden.

Um an derartige Konten für den Weiterverkauf zu gelangen, bediente sich die Plattform ausgefeilter Methoden: Die Betreiber übernahmen gezielt abgelaufene Web-Domains realer Organisationen oder erstellten eigenständige Internetauftritte für gar nicht existierende Einrichtungen.

Das Kit Iron Man bot den Angreifern zudem über 2.300 Vorlagen, die unter anderem darauf ausgelegt waren, Bankinstitute und Polizeibehörden täuschend echt nachzuahmen.

Wer sich mit der zunehmenden Professionalität von Cyberkriminellen befasst, erkennt schnell die Notwendigkeit einer proaktiven Absicherung für den eigenen Betrieb. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Angreifer und erklärt, wie Sie Ihr Unternehmen langfristig schützen können. Kostenloses E-Book zur Cyber-Security sichern

Kooperation mit Sicherheitsorganisationen und Finanzanalysten

Der Erfolg des Schlages basierte auf einer engen Zusammenarbeit zwischen Technologieunternehmen, staatlichen Stellen und spezialisierten Analysefirmen. Bei der Beschlagnahme und Umleitung kompromittierter Domains arbeitete Microsoft eng mit der Organisation Health-ISAC zusammen, um den Missbrauch im Gesundheitssektor und weiteren Bereichen zu stoppen.

Zudem war das Analyseunternehmen TRM Labs an der Operation beteiligt. Der Dienstleister unterstützte die Ermittler dabei, illegale Krypto-Vermögenswerte der Betrüger aufzuspüren und einzufrieren, um den Tätern den Zugriff auf ihre finanziellen Erlöse zu entziehen. Durch die Deaktivierung der Server und Vorlagen verlor das kriminelle Netzwerk wesentliche Teile seiner technischen Basis.