A Microsoft e os seus parceiros de aplicação da lei e de cibersegurança anunciaram o desmantelamento de um ecossistema criminoso de grande escala que permitiu enviar mais de mil milhões de mensagens maliciosas e visar mais de 75 mil organizações em 150 países. A operação centrou-se no mercado YAM Store, também conhecido como Storm-3119, e em plataformas de phishing associadas que a Microsoft acompanha sob os nomes CoGUI, Haozi e Iron Man System, no âmbito da Storm-2990.
A operação ocorreu após uma investigação iniciada pela Microsoft e pela Agência Nacional de Polícia do Japão (NPA) sobre uma onda de atividades fraudulentas. Segundo a Microsoft, mais de 750 milhões de mensagens visaram os seus clientes através de correio eletrónico e mensagens de texto desde o início do ano, com várias campanhas a utilizarem uma técnica de phishing baseada em tokens de dispositivo para obter códigos de autenticação.
Um mercado de serviços de phishing, não apenas um conjunto de campanhas
As investigações revelaram que a YAM Store vendia ambientes Microsoft e Google, bem como as respetivas contas, licenças e espaços de armazenamento, quer depois de estes serem comprometidos, quer após serem obtidos de forma fraudulenta. Os operadores exploravam domínios expirados pertencentes a organizações reais, reconstruíam os seus sites para parecerem ativos e utilizavam as suas identidades para obter contas na nuvem.
Também criavam organizações fictícias apoiadas por conteúdos e documentos gerados com ferramentas de inteligência artificial. Nos ambientes Microsoft comprometidos, eram utilizadas credenciais roubadas de aplicações para gerir contas e licenças, enquanto o SharePoint e o OneDrive eram explorados para alojar conteúdos de phishing.
Múltiplos modelos e técnicas para dificultar a análise
Os grupos de phishing disponibilizavam iscos baseados em infrações de trânsito, portagens não pagas, problemas de entrega e pedidos de verificação de contas. Também suportavam geolocalização, páginas CAPTCHA falsas e filtragem de endereços IP, meios destinados a ocultar a infraestrutura dos investigadores e dos sistemas de proteção.
A CoGUI visava vítimas nos Estados Unidos e no Japão, mas, em meados de 2026, a Iron Man tornou-se a plataforma dominante, incluindo mais de 2.300 modelos que imitavam bancos, lojas, serviços de entrega e entidades governamentais. A empresa Resecurity, que participou na investigação, identificou um registo público de builds e contentores com 911 versões publicadas e oito contas registadas, além de um sistema de seleção de produtos associado à captura de dados de cartões. O catálogo de pacotes de phishing chegou a 2.360 pacotes que abrangiam 130 países e regiões, com atualizações até 1 de outubro de 2026.
O que mudou na prática?
Ao abrigo de uma ordem do Tribunal Distrital dos Estados Unidos para o Distrito Sul da Florida, a Microsoft e a Health-ISAC apreenderam e redirecionaram domínios que apoiavam a YAM Store, a CoGUI e a Iron Man. A Microsoft também desativou mais de 20 mil contas associadas ao mercado e bloqueou 100 mil domínios utilizados para falsificação de identidade e fraude.
A operação revela que o phishing contemporâneo funciona como um mercado de serviços escalável, vendendo infraestrutura, contas e modelos em vez de depender de uma única campanha. No entanto, o bloqueio de domínios e contas não significa o fim da atividade; a Microsoft afirmou que a remoção de infraestrutura adicional continua, enquanto a dimensão da infraestrutura ainda não descoberta permanece uma questão em aberto.
Além da Microsoft e da NPA, participaram na investigação a JC3, a Resecurity, a Cloudflare, a Oracle, a Proofpoint e a TRM Labs. No final de 2024, a Proofpoint já tinha associado de forma contínua à CoGUI campanhas que visavam o Japão, com foco no roubo de credenciais e dados de pagamento através da imitação de empresas japonesas conhecidas e organizações internacionais.