Microsoft et Health-ISAC, épaulés par Proofpoint et plusieurs partenaires publics et privés, ont frappé l’écosystème de phishing sinophone qui gravite autour des kits CoGUI, CoAceV et CoFish_Ws et des plateformes YAM Store et Iron Man. Selon Microsoft, cette nébuleuse a permis l’envoi de plus d’un milliard de messages malveillants depuis janvier 2026, à destination de plus de 75 000 organisations. Les domaines saisis affichent désormais une page de substitution.
Une riposte judiciaire et technique
L’offensive s’est jouée sur deux fronts. Sur le terrain judiciaire, Microsoft et Health-ISAC, co-plaignant, ont déposé une plainte civile devant le tribunal fédéral du district sud de Floride contre les acteurs de YAM Store et les individus liés à ces opérations de phishing. Sur le terrain technique, les deux organisations ont saisi et redirigé les domaines qui alimentaient YAM Store, CoGUI et Iron Man. Les visiteurs des sites malveillants sont désormais accueillis par une page de substitution.
L’opération est collective. Le Japan Cybercrime Control Center (JC3), Resecurity, Cloudflare, Oracle et TRM Labs y ont participé aux côtés de Proofpoint. L’éditeur a fourni à Microsoft ses données de détection, notamment les domaines malveillants et les informations sur les campagnes des trois kits, ainsi qu’une déclaration versée au dossier. Proofpoint juge que cette action devrait avoir un impact mesurable sur l’écosystème du phishing chinois et créer de sérieuses frictions opérationnelles pour plusieurs groupes.
CoGUI et ses cousins, une famille très prolifique
Proofpoint suit CoGUI depuis fin 2024. Ses chercheurs avaient alors repéré un cluster d’activité qui visait le Japon avec des volumes de campagnes exceptionnels. Quelques jours après la publication de leur rapport, la chaîne « coguicogui » est apparue dans les communications réseau du kit, ce qui ressemblait fort à une réponse moqueuse du développeur. Plus d’un an plus tard, l’outil reste régulièrement utilisé. Proofpoint bloque chaque mois plus de 100 millions d’e-mails liés à CoGUI, et le kit a hissé le Japon parmi les pays les plus ciblés dans ses données.
Deux autres kits ont rejoint la famille depuis, CoAceV et CoFish_Ws. Proofpoint estime avec un haut degré de confiance qu’ils ont des racines communes et qu’ils sont exploités par des affiliés qui se recoupent. Les indices sont nombreux. En février 2026, CoGUI a adopté une nouvelle technique de leurre : quand les conditions de navigation ne sont pas réunies, le navigateur est renvoyé vers www.a.com, www.b.com ou www.c.com, de quoi tromper les sandbox automatisées. CoAceV a repris exactement le même procédé quelques jours plus tard. Du 13 au 17 avril 2026, deux campagnes usurpant Apple, l’une sous CoGUI, l’autre sous CoAceV, ont même partagé la même page leurre. Les chemins d’URL se ressemblent eux aussi d’un kit à l’autre, et un même motif, construit autour de « kumamoto-city.jp », a été repéré dans les trois.
Les chiffres donnent la mesure de cette industrie. Proofpoint attribue 1 081 campagnes et 13 586 domaines uniques à CoGUI, 242 campagnes et 2 812 domaines à CoAceV, 19 campagnes et 191 domaines à CoFish_Ws. Au total, environ 17 000 domaines uniques ont été recensés depuis le début du suivi.
La finance en ligne de mire
Le mode opératoire est bien rodé. Les kits usurpent 66 marques, japonaises pour la plupart, dont Amazon, PayPay, MyJCB, Apple, Orico, Rakuten, SMBC, Saison Card, Aeon Card, UC Card, Matsui Securities, DHL et Yamato Transport. Les leurres jouent sur la banque, les cartes et comptes de paiement, le commerce de détail ou la livraison. Une campagne CoFish_Ws illustre la mécanique. Un e-mail se faisant passer pour JACCS annonce que 9 331 points de fidélité expireront le 12 avril 2026. Le lien passe par un CAPTCHA, puis mène vers une fausse page de connexion qui récolte identifiants et mots de passe. Une seconde page réclame ensuite numéro de carte, date d’expiration et cryptogramme.
La très grande majorité des campagnes vise le Japon, quelques-unes touchent les États-Unis, l’Australie et l’Italie. Les services financiers et la santé arrivent en tête des secteurs touchés, devant le secteur public, l’éducation et l’industrie. L’appétit pour la finance n’a rien d’anodin. En 2025, les autorités japonaises avaient signalé une hausse du phishing contre les organisations financières, avec des prises de contrôle de comptes dont les gains servaient le plus souvent à acheter des actions chinoises. Proofpoint juge possible un lien avec les opérateurs de CoGUI, ce qui collerait à leurs visées de vol financier.
