Microsoft y sus socios de las fuerzas del orden y de la ciberseguridad anunciaron el desmantelamiento de un amplio ecosistema criminal que permitió enviar más de mil millones de mensajes maliciosos y atacar a más de 75.000 organizaciones en 150 países. La operación se centró en el mercado YAM Store, también conocido como Storm-3119, y en plataformas de phishing vinculadas a él que Microsoft rastrea bajo los nombres CoGUI, Haozi e Iron Man System dentro de Storm-2990.
La operación se produjo después de una investigación iniciada por Microsoft y la Agencia Nacional de Policía de Japón (NPA) sobre una oleada de actividades fraudulentas. Según Microsoft, más de 750 millones de mensajes dirigidos a sus clientes desde comienzos de año se enviaron por correo electrónico y mensajes de texto, y muchas campañas utilizaron una técnica de phishing basada en códigos de dispositivo para obtener códigos de autenticación.
Un mercado de servicios de phishing, no solo un conjunto de campañas
Las investigaciones revelaron que YAM Store vendía entornos, cuentas, licencias y espacios de almacenamiento de Microsoft y Google, ya fuera después de comprometerlos o de obtenerlos mediante métodos fraudulentos. Los operadores explotaban dominios caducados pertenecientes a organizaciones reales, reconstruían sus sitios para que parecieran activos y utilizaban sus identidades para obtener cuentas en la nube.
También creaban organizaciones ficticias respaldadas por contenido y documentos generados mediante herramientas de inteligencia artificial. En los entornos de Microsoft comprometidos, se utilizaban credenciales robadas de aplicaciones para administrar cuentas y licencias, mientras que SharePoint y OneDrive se explotaban para alojar contenido de phishing.
Múltiples plantillas y métodos para impedir el análisis
Los grupos de phishing ofrecían señuelos basados en infracciones de tráfico, peajes impagados, problemas de entrega y solicitudes de verificación de cuentas. También admitían geolocalización, páginas CAPTCHA falsas y filtrado de direcciones IP, medidas destinadas a ocultar la infraestructura a los investigadores y a los sistemas de protección.
CoGUI atacaba a víctimas en Estados Unidos y Japón, pero para mediados de 2026 Iron Man se había convertido en la plataforma predominante, con más de 2.300 plantillas que suplantaban a bancos, tiendas, servicios de entrega y organismos gubernamentales. Resecurity, que participó en la investigación, identificó un registro público de compilaciones y contenedores con 911 versiones publicadas y ocho cuentas registradas, además de un sistema de selección de productos vinculado a la captura de datos de tarjetas. El catálogo de paquetes de phishing alcanzaba 2.360 paquetes que cubrían 130 países y regiones, con actualizaciones hasta el 1 de octubre de 2026.
¿Qué cambió en la práctica?
En virtud de una orden del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida, Microsoft y Health-ISAC incautaron y redirigieron dominios que respaldaban YAM Store, CoGUI e Iron Man. Microsoft también desactivó más de 20.000 cuentas vinculadas al mercado y bloqueó 100.000 dominios utilizados para la suplantación de identidad y el fraude.
La operación revela que el phishing moderno funciona como un mercado de servicios escalable que vende infraestructura, cuentas y plantillas, en lugar de depender de una campaña aislada. Sin embargo, el bloqueo de dominios y cuentas no significa que la actividad haya terminado: Microsoft afirmó que la retirada de infraestructura adicional continúa, mientras que la magnitud de la infraestructura aún no descubierta sigue siendo una cuestión abierta.
Además de Microsoft y la NPA, participaron en la investigación JC3, Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs. A finales de 2024, Proofpoint ya había vinculado de forma persistente campañas dirigidas contra Japón con el grupo CoGUI, centradas en el robo de credenciales y datos de pago mediante la suplantación de conocidas empresas japonesas y organizaciones internacionales.