從日本民眾收到的詐騙訊息著手，微軟與日本警察廳追查到的，並非幾個彼此無關的釣魚網站，而是一套供犯罪者購買帳號、網域與仿冒工具的中文網路犯罪服務鏈。 微軟表示，YAM Store、CoGUI與Iron Man自2026年1月以來，合計促成超過10億則惡意電子郵件與簡訊，鎖定全球逾7.5萬個組織、遍及150多個國家，其中超過7.5億則訊息以微軟客戶為目標。 微軟與日本警察廳於2025年底開始追查鎖定日本民眾與企業的詐騙訊息。

日本警察廳提供情報與調查協助後，調查逐步擴大，並與日本網路犯罪控制中心（JC3）、Resecurity、Cloudflare、Oracle、Proofpoint及TRM Labs等合作，試圖拼湊原本看似無關的帳號、網站與攻擊基礎設施。 從日本詐騙訊息，追到跨國犯罪服務網 微軟指出，調查人員原先預期找到的是個別詐騙活動，後來卻發現一個中文網路犯罪市場，犯罪者可在其中取得帳號、主機服務與建立仿冒網站及網路身分的工具。 調查也發現，YAM Store運作方式類似線上商店，販售不法取得的微軟與Google帳號，以及可用於詐騙的現成工具。

CoGUI則提供可直接使用的網站與訊息樣板，供犯罪者冒充企業、金融機構、政府部門及其他可信任組織；調查發現，至2026年年中，較新的Iron Man工具已逐漸取代CoGUI在部分犯罪市場中的位置。 這些工具可讓犯罪者快速建立仿冒頁面，誘騙受害者交出密碼、付款資訊或其他個人資料。 微軟指出，JC3運用其逾130個會員組織的情報，協助將原本分散的事件串連起來，辨識出影響日本企業、金融機構及消費者的共同犯罪模式。 Health-ISAC則提供醫療機構受影響情形的資訊，其他資安與科技業者協助分析基礎設施及相關情報。

法律行動鎖定支撐服務的網域 微軟與Health-ISAC依據美國佛羅里達南區聯邦地方法院相關命令，查扣並重新導向支撐YAM Store、CoGUI與Iron Man運作的網域。 微軟表示，已停用超過2萬個與YAM Store相關的帳號，並持續移除其服務上的相關基礎設施、封鎖超過10萬個用於冒名與詐騙的網域。 微軟數位犯罪部門主管Steven Masada在說明調查時表示：「詐騙訊息往往是受害者唯一看見的部分；真正讓詐騙得以運作的，是背後那些服務。 」微軟也指出，YAM Store、CoGUI與Iron Man只是更大犯罪網絡的一部分；此次行動的目標，是讓犯罪者更難取得帳號、工具及基礎設施，並非宣告整個犯罪網絡已被根除。

微軟資料中出現的企業與政府機關名稱，是被釣魚樣板冒用的對象，並不代表這些組織或其系統曾遭入侵。 從日本警方提供線索到多國業者協力追查，這起案件也顯示，當詐騙服務跨越國界，單一機構往往難以看見完整網絡，跨境情報交換成為追查犯罪供應鏈的重要一環。