微軟於二零二六年十月十四日在 On the Issues 刊出數碼罪案單位文章，指公司聯同 Health-ISAC，正拆解中文語境網絡罪案市場中的 YAM Store、CoGUI 與 Iron Man 三大組件。自二零二六年一月起，三者合共催生逾十億則惡意訊息，針對全球逾七萬五千間機構，當中逾七億五千萬則針對微軟客戶，覆蓋逾一百五十個國家，營運者據稱賺取數千萬美元。本文已核對微軟官方原文，來源真實性已驗證。下文整理調查路徑、供應鏈機制，以及企業與一般用戶可採取的防護重點。
微軟／官方・Health-ISAC：打擊跨國詐騙供應鏈——查封 YAM Store／CoGUI／Iron Man；自今年初催生逾十億惡意訊息、影響逾七萬五千機構
微軟於二零二六年十月十四日由數碼罪案單位（Digital Crimes Unit）副總法律顧問兼總經理 Steven Masada 撰文，說明公司與全球醫療業網絡威脅資訊共享組織 Health-ISAC，正合力拆解一套以中文為主的跨國網絡罪案「服務經濟」：YAM Store（販售欺詐帳戶與詐騙工具的市集）、CoGUI（即用冒充網站與訊息）、以及於二零二六年年中逐漸取而代之的 Iron Man（逾二千三百套冒充範本）。本文已對照微軟 On the Issues 原文；來源真實性已驗證。重點不在單一釣魚短訊，而在：未付路費、無法派送、銀行或稅務催繳等訊息，往往只是跨國供應鏈的可見末端——背後有可購買的帳戶、託管與冒充範本。
一、核心事件：查封跨國詐騙「服務經濟」三大組件
技術細節
調查於二零二五年年底展開，起因是日本警察廳（NPA）就針對日本民眾與企業的惡意訊息活動向微軟示警。雙方原本預期會找到零散的個別戰役，卻深入一處中文語境的網絡罪案市集：罪犯可購買帳戶、託管服務，以及用於製作假網站與網上身分的工具。調查其後擴至全球，日本網絡罪案對策中心（JC3）、Resecurity、Cloudflare、Oracle、Proofpoint 與 TRM Labs 等亦提供情報與調查支援；微軟並與美國特勤局及國際執法夥伴共享情報。
自二零二六年一月起，YAM Store、CoGUI 與 Iron Man 合共催生逾十億則惡意訊息，針對全球逾七萬五千間機構，當中逾七億五千萬則針對微軟客戶；訊息用於針對消費者、醫療機構、金融機構及其他企業，覆蓋逾一百五十個國家，為營運者帶來數千萬美元收入。
依美國佛羅里達州南區聯邦地區法院命令，微軟與 Health-ISAC 已查封並重定向支撐上述基礎設施的域名。微軟已停用逾二萬個與 YAM Store 相關的帳戶，並持續拆除託管於其服務上的基礎設施，同時封鎖逾十萬個用於冒充與欺詐的域名。
二、技術原理深度解析
YAM Store 的運作近似網上商店：買家可瀏覽產品、比較價格，購買欺詐的微軟與 Google 帳戶，以及其他現成詐騙工具（包括憑證竊取）。微軟透過受控購買確認其流程。部分營運者會收購合法機構（常見於非牟利與教育界）已過期的網域，重建網站令機構看似仍在運作，藉此欺詐取得 Microsoft 365 帳戶，再經 YAM Store 出售。
CoGUI 則向罪犯提供現成的假網站與訊息，冒充企業、金融機構、政府機關及其他受信任組織，讓罪犯無需自行設計，即可快速部署用於竊取密碼、付款資料與個人資料的頁面。調查發現，到二零二六年年中，CoGUI 愈來愈被更新的 Iron Man 取代。Iron Man 把模式擴大為數千套現成範本，罪犯可快速部署針對特定品牌、行業與國家的電郵、短訊與網頁內容。經測試購買並與 Resecurity 合作，調查人員識別出逾二千三百套範本，冒充銀行、零售、醫療、交通、警察、政府及其他機構，覆蓋逾一百五十個國家。微軟強調：範本中出現某機構或政府名稱，並不表示該機構系統已被入侵。
文章亦指出，調查過程中運用人工智能工具，把原先看似無關的帳戶、網站與基礎設施串連起來，從而揭露背後更廣的犯罪市集。這與微軟當年度《Microsoft Digital Defense Report》所描述的趨勢一致：現代欺詐愈來愈依賴讓罪犯更容易觸及更多受害人的「商業化服務」。
三、對威脅情報與防衛供應鏈的影響
本節不談代幣經濟學，而談跨國詐騙服務經濟對防衛端的意義。當帳戶、冒充範本與基礎設施可像商品一樣購買，單一釣魚戰役的「作者」往往只是下游買家；真正槓桿在上游供應商。拆解 YAM Store／CoGUI／Iron Man，等於提高罪犯取得可用身分與冒充素材的成本，而非只封鎖個別短訊。
對企業安全營運而言，啟示是三層：（1）過期網域與「看似合法」的 Microsoft 365／Google 帳戶，可成為欺詐供應鏈入口；（2）冒充銀行、物流、稅務與政府的範本已高度商品化，偵測必須覆蓋品牌冒充與網域重用模式；（3）跨業界、跨境情報共享（如 Health-ISAC、JC3、雲端與電郵安全供應商）才能把「看似無關的帳戶與網站」拼成完整圖景。人工智能在此扮演關聯分析角色，但執法與民事查封（法院命令、域名重定向、帳戶停用）仍是切斷供應的關鍵槓桿。
四、日常應用場景
1. 開發者與技術團隊
應把「品牌冒充／釣魚範本」納入威脅模型：測試環境與客戶通知範本須防範被仿冒；對過期網域監控、M365 租戶異常註冊與大量新帳戶建立告警。若以本地或私有模型協助分診釣魚樣本，應限制其對生產憑證與客戶數據的觸達。
2. 企業與隱私敏感行業
金融、醫療、物流與政府相關服務是 Iron Man 範本的高頻冒充對象。企業應強化員工對「未付路費／無法派送／銀行／稅務催繳」類短訊的辨識流程，並以網域／帳戶情報封鎖已知欺詐基礎設施。醫療機構可參考 Health-ISAC 類共享機制；跨境遙測若不能出境，應優先可審計的雲端隔離與零信任路徑。
3. 一般用戶
勿點擊聲稱欠費、包裹卡住或稅務逾期的不明連結；核實應經官方 App 或已收藏的官方網址，而非訊息內嵌連結。啟用多因素認證，並對要求付款或索取一次性驗證碼的來電／短訊保持懷疑。
4. 香港與亞洲市場視角
香港與亞洲用戶長期面對物流、銀行與政府冒充短訊；日本 NPA／JC3 的起點亦顯示區內執法與民間情報共享的價值。本地企業若依賴 Microsoft 365 與雲端電郵，應把「過期網域重建」「欺詐帳戶買賣」「大量冒充範本」納入供應鏈風險評估。若貴司需要在港部署可審計的雲端隔離、零信任與網絡防衛架構，可參考 YSK Limited 的雲端遷移與網絡安全（官網刊 99.99% SLA）；若要把釣魚分診或內部安全助手留在本地模型閘道，可搭配 YSK Omni（v1.0.4）、YSK Kit（v1.6.0）與 YSK Server（v1.1.28）。
五、專業評價與潛在考量
優勢
- 微軟 On the Issues 於二零二六年十月十四日由數碼罪案單位具名公開，數字（逾十億訊息、逾七萬五千機構、逾七億五千萬則針對微軟客戶、逾二萬帳戶停用、逾十萬域名封鎖、Iron Man 逾二千三百套範本）可直接核對原文。
- 行動結合民事法院命令與多機構情報（NPA、JC3、Health-ISAC、Cloudflare、Oracle、Proofpoint、TRM Labs、Resecurity 等），敘事與《Microsoft Digital Defense Report》趨勢一致。
- 清楚區分「範本出現某品牌」與「該品牌系統被入侵」，降低誤讀風險。
- 對香港與亞洲 SOC／採購具直接可比語言：服務化詐騙供應鏈、帳戶與網域槓桿、跨境共享。
需要留意的地方
- 「數千萬美元」為官方對營運者收入的概括描述，並非經獨立審計的明細財報。
- YAM Store／CoGUI／Iron Man「只是更大犯罪網絡的一部分」；查封可提高成本，但不保證同類市集不會轉移或重建。
- 逾十萬域名封鎖與逾二萬帳戶停用屬微軟當前行動規模，後續數字可能隨持續拆除而變動，引用應標明為文章刊出時點。
- 人工智能用於關聯帳戶與基礎設施，屬調查輔助；企業不能假設「有通用聊天模型即可同等執法級情報能力」。
- 本文不構成對任何上市公司的投資建議，亦不構成法律意見。
結語
十月十四日微軟與 Health-ISAC 這輪行動，把焦點從單一釣魚短訊拉回上游：YAM Store、CoGUI 與 Iron Man 把欺詐帳戶、冒充網站與跨國範本商品化，自今年初已催生逾十億則惡意訊息、波及逾七萬五千間機構。法院命令下的域名查封、帳戶停用與大規模域名封鎖，旨在切斷供應而非只刪除收件匣裡的下一則催繳訊息。對香港企業而言，下一步是把過期網域、雲端帳戶治理與品牌冒充偵測寫進同一張防衛藍圖。若貴司正評估雲端加固或可審計的網絡防衛架構，歡迎透過 YSK Limited 雲端遷移與網絡安全 了解可行方案；配套亦可參考 YSK Omni、YSK Kit 與 YSK Server。
參考來源
- Microsoft On the Issues（primary）：Disrupting the service economy behind transnational cybercrime operations（2026-10-14，Steven Masada, Associate General Counsel and GM, Microsoft Digital Crimes Unit）