Microsoft descubrió un ecosistema delictivo de habla china que opera como un mercado integral de servicios de phishing y conecta a desarrolladores de kits de phishing con vendedores de infraestructura y atacantes que compran estos servicios para ejecutar campañas a gran escala. La empresa afirmó que las entidades vinculadas a este ecosistema facilitaron desde enero de 2026 el envío de más de mil millones de mensajes de correo electrónico y de texto a más de 75.000 organizaciones de todo el mundo.
Las campañas se dirigieron contra organizaciones de los sectores sanitario, de servicios financieros, distribución mayorista y tecnología de la información, con víctimas identificadas en Japón, Estados Unidos, Australia e India. En colaboración con organismos encargados de hacer cumplir la ley y otros socios, la Unidad de Delitos Digitales de Microsoft ayudó a desarticular a los principales desarrolladores y la infraestructura central del ecosistema.
Un mercado que vende acceso e infraestructura
Microsoft rastreó el mercado ilícito bajo el nombre Storm-3119, que opera según un modelo de intermediario de acceso inicial con el nombre YAM Store. El mercado vende entornos de Microsoft y Google comprometidos u obtenidos mediante fraude, incluidas cuentas, licencias, espacios de almacenamiento y dominios que parecen estar vinculados a organizaciones reales o anteriores.
Según la investigación, los operadores utilizan herramientas automatizadas para identificar entornos en la nube susceptibles de explotación, y después toman el control de inquilinos de Microsoft 365 y Azure for Education y los administran mediante paneles de control creados con tecnologías PHP, Java/Spring y Cloudflare Workers. Este acceso permite restablecer contraseñas, asignar licencias educativas, conceder privilegios elevados y convertir SharePoint y OneDrive en recursos de alojamiento que pueden venderse.
El ecosistema también proporciona gestión de dominios, certificados SSL y redirección de sitios mediante Cloudflare, y vende los recursos a través de una interfaz automatizada que acepta pagos mediante Alipay, WeChat Pay y USDT. Microsoft señaló que los operadores también crearon organizaciones ficticias y sitios de apoyo para obtener nuevos inquilinos, posiblemente utilizando contenido generado por inteligencia artificial y documentos falsificados.
Kits de phishing como servicio
Microsoft identificó tres kits de phishing vendidos a través de YAM Store: CoGUI, conocido también como NX o FA; Haozi, conocido como Phoenix; e Iron Man System. La empresa rastrea a los desarrolladores y la actividad relacionada con estos kits bajo el nombre Storm-2990.
Iron Man System contiene más de 2.335 plantillas destinadas a más de 139 países y suplantan a marcas y entidades gubernamentales, financieras, sanitarias, policiales y relacionadas con el transporte y el comercio minorista. La plataforma admite la restricción del contenido según la ubicación geográfica, páginas CAPTCHA falsas, listas de bloqueo y autorización de direcciones IP, y configuraciones para evitar la detección.
La plataforma también envía notificaciones instantáneas a través de Telegram cuando la víctima introduce sus credenciales, los datos de su tarjeta o códigos de verificación. El kit recopila los datos mediante WebSocket, lo que permite al operador seguir la interacción de la víctima y controlar manualmente el siguiente paso. Microsoft afirma que estas capacidades hacen que los kits se parezcan más a productos comerciales de phishing multiinquilino que a herramientas individuales utilizadas por un solo atacante.
¿Qué cambia en la práctica?
Los resultados revelan que el phishing moderno depende de una economía de servicios distribuida: una entidad proporciona las cuentas y el almacenamiento, otra desarrolla las plantillas y los compradores ejecutan las campañas finales. Esta división reduce la barrera de entrada para atacantes con menos experiencia y convierte el abuso de entornos legítimos en la nube en parte de una cadena de suministro delictiva difícil de vincular a una sola campaña.
Microsoft observó que la actividad posterior incluyó el robo de credenciales, phishing mediante el flujo del código del dispositivo para obtener tokens de acceso y fraude financiero utilizando datos de pago robados. Por ello, recomienda a las organizaciones capacitar a los usuarios sobre los indicios de urgencia y los enlaces inesperados, aplicar autenticación multifactor resistente al phishing o claves de acceso, y restringir los privilegios de Global Administrator conforme al principio de mínimo privilegio y Zero Trust.
Otras medidas incluyen revisar la configuración de Exchange Online Protection y Microsoft Defender for Office 365, activar Safe Links para los destinatarios internos, limitar el registro de métodos de autenticación a ubicaciones y dispositivos de confianza, y habilitar la protección de red para impedir el acceso a dominios y contenido maliciosos. Las cifras y evaluaciones incluidas en el informe se basan en la observación de Microsoft, mientras que la fuente no aclaró el alcance de las medidas legales detalladas ni la duración de la interrupción.