日本警方捣毁十亿条钓鱼信息诈骗网络

线索来自东京，而非华盛顿。

这很可能是微软近期打击行动被英语媒体报道时最可能忽略的细节。该公司于10月14日宣布，已查封三个中文服务背后所使用的域名——CoGUI、Iron Man和YAM Store——自2026年1月以来，这些服务共同向150多个国家的受害者发送了超过10亿条欺诈信息。但这项调查并非始于美国传票或内部威胁情报警报。它始于日本政府与微软共享针对日本用户的钓鱼攻击数据。

随后发生的事件在规模和结构上都极为罕见。微软从美国佛罗里达南区联邦地区法院获得了法院命令，与Health-ISAC合作评估对医疗机构的影响，与网络安全公司Resecurity合作购买对Iron Man的访问权限，并与日本国家警察厅及日本网络犯罪危机应对中心协同配合。结果不仅仅是关闭三个网站，而是首次绘制出一条将欺诈作为软件即服务（SaaS）模式运营的商业化网络犯罪供应链的清晰图景。

欺诈即自助平台。

微软瓦解的三个服务各自承担不同但相互关联的职能。CoGUI和Iron Man是钓鱼包提供商，允许任何人无需编写一行代码即可生成伪装成银行、政府机构、零售商和快递公司的假冒登录页面。仅Iron Man就提供了超过2300种模板，覆盖了150多个国家的组织机构。Resecurity的测试购买证实了这一点——代表菲律宾交通部门和澳大利亚邮政的模板与专门针对日本用户设计用于窃取凭证的假冒亚马逊页面并列存在。

YAM Store是市场层。它出售欺诈者所需的输入：被入侵的微软和谷歌账户、被盗的凭据，以及可用于复活并显得合法的空闲域名。运营者从非营利组织和教育机构手中购买过期域名，然后以这些身份注册账户，再将劫持的资产挂到市场上出售。一名泰国买家可以购买一个假冒的微软365账户，搭配一个伪装成泰国银行的Iron Man模板，然后在几小时内发起一场攻击活动。

微软估计这三项服务带来了数千万美元的收益。10亿多条欺诈信息中有7.5亿条专门针对微软客户。全球受害组织超过75000家。这不是松散的个人黑客在地下室里各自为战。这是一个有产品经理、客户支持和定价等级的有组织的商业生态。

日本角度的重要性。

日本的参与不应被视为偶然。日本国家警察厅在2025年底向微软提交的初步报告聚焦于针对日本目标的钓鱼攻击。JC3（日本专门的网络犯罪中心）汇总了来自130多个成员组织的情报，将最初看似独立事件串联成单一的攻击模式。如果没有这种汇总，此次行动的规模仍将分散在不同国家的司法管辖区。

这正是多年来制约跨境网络执法的结构性难题。欺诈行动在设计上就是全球化的。基础设施托管在多个国家，运营者在加密频道中沟通，受害者分布在全球各地。没有任何一个执法机构拥有完整的图景。微软的Steven Masada明确表示，在这次调查之前，没有哪个组织能够看到这一犯罪市场的全貌。这种合作模式——日本警方共享本地化的威胁数据、微软将其与全球遥测数据关联、Health-ISAC评估特定行业影响、Resecurity提供行动情报——使这次打击成为可能。

这对平台治理意味着什么。

这次打击是一次胜利，但也揭示了一个 recurring 的模式。网络犯罪分子不再需要从零开始开发基础设施。他们租用。钓鱼包、被入侵的账户和假冒域名是在暗网市场和半公开论坛上交易的消费品。当微软查封域名并停用超过2万个YAM Store账户时，它确实移除了供应链中的一个节点。但潜在需求依然存在。新的服务将会涌现，通常只是品牌或模板设计的微小变化。Iron Man服务本身在2026年年中之前就已取代了CoGUI，这表明这类工具存在竞争性市场。

更深层的含义在于责任归属。技术平台正越来越多地被要求在其没有法定授权和有限政治问责的司法管辖区内充当执行者。微软获得了法院命令，这提供了一定的法律保障，但该公司实际上在履行历来属于跨国协调执法机构的职能。问题在于，这种临时的公私合作模式是否能够扩展。目前的制度依赖于各公司自愿选择投资于全球威胁情报合作伙伴关系，并有决心在特定美国法院采取法律行动。这并不是国际网络犯罪执法的可持续基础。

模板困境。

微软谨慎指出，某个组织的名称出现在Iron Man模板中，并不意味着该组织的系统已被入侵。这些模板是通用的仿制品。一个假冒的澳大利亚邮政页面并不需要入侵澳大利亚邮政的基础设施。这一区分之所以重要，是因为它转移了防御的责任。组织不能依赖于"我的系统未被触碰就意味着安全"的假设。威胁来自于专业制作的高仿品，对于任何收到关于未送达包裹短信或未付通行费通知的人来说，它们与真实页面几乎无法区分。

Iron Man中记录的2300种模板构成了可量化的攻击面。每种模板都是社会工程学攻击活动的预构建入口点。犯罪分子的近乎零成本——订阅服务每月费用加上几美元购买一个被入侵的账户。而防御成本则由成千上万的组织分散承担，每个组织都需要教育用户、部署电子邮件过滤和监控模仿尝试。对于一个专门设计为可复制的产品，不存在集中化的防御手段。

下一步走向何方。

这次打击的直接影响将在短期内表现为钓鱼邮件数量的减少。微软已封锁了与该行动相关的超过10万个域名，并从其自身服务中移除了欺诈性基础设施。但这种运营模式——商业化欺诈工具售给价高者——将持续存在。对政策制定者而言，教训是当前的双边合作和公司主导执法的拼凑模式远远不够。我们需要建立一个正式框架，用于国家警察机构与全球技术平台之间的情报共享，并制定明确的法律协议，使快速域名查封和账户暂停能够在不同司法管辖区执行，而不必在每个案件中单独获得法院命令。

日本国家警察厅应获赞誉，不仅因其提交了初步报告，更因将零散事件汇总为揭示更大行动的关联模式。这是其他国家应当效仿的模式。下一波十亿级消息攻击不会等待来自日本的线索。它将从其他地方到来，针对另一个地区，通过一个名为不同服务的渠道。基础设施看起来将大同小异。而我们的响应速度需要更快。