A Microsoft revelou um ecossistema criminoso em língua chinesa que funciona como um mercado integrado de serviços de phishing e conecta desenvolvedores de kits de phishing, vendedores de infraestrutura e invasores que compram esses serviços para realizar campanhas em larga escala. A empresa afirmou que as entidades relacionadas a esse ecossistema facilitaram, desde janeiro de 2026, o envio de mais de um bilhão de mensagens de e-mail e texto para mais de 75 mil organizações em todo o mundo.
As campanhas tiveram como alvo organizações dos setores de saúde, serviços financeiros, distribuição por atacado e tecnologia da informação, com vítimas identificadas no Japão, nos Estados Unidos, na Austrália e na Índia. Em colaboração com autoridades policiais e outros parceiros, a Unidade de Crimes Digitais da Microsoft ajudou a interromper as atividades dos principais desenvolvedores e da infraestrutura essencial do ecossistema.
Um mercado que vende acesso e infraestrutura
A Microsoft rastreou o mercado ilícito sob o nome Storm-3119, que opera segundo um modelo de corretor de acesso inicial sob o nome YAM Store. O mercado vende ambientes da Microsoft e do Google comprometidos ou obtidos por fraude, incluindo contas, licenças, espaços de armazenamento e domínios que parecem estar associados a organizações reais ou anteriores.
Segundo a investigação, os operadores usam ferramentas automatizadas para identificar ambientes de nuvem exploráveis, depois assumem o controle de locatários do Microsoft 365 e do Azure for Education e os administram por meio de painéis de controle desenvolvidos com PHP, Java/Spring e Cloudflare Workers. Esse acesso permite redefinir senhas, atribuir licenças educacionais, conceder privilégios elevados e transformar o SharePoint e o OneDrive em recursos de hospedagem que podem ser vendidos.
O ecossistema também oferece gerenciamento de domínios, certificados SSL e roteamento de sites por meio da Cloudflare, além de vender os recursos por uma interface automatizada que aceita pagamentos via Alipay, WeChat Pay e USDT. A Microsoft indicou que os operadores também criaram organizações fictícias e sites de apoio para obter novos locatários, possivelmente usando conteúdo gerado por inteligência artificial e documentos falsificados.
Kits de phishing como serviço
A Microsoft identificou três kits de phishing vendidos por meio da YAM Store: CoGUI, também conhecido como NX ou FA; Haozi, conhecido como Phoenix; e Iron Man System. A empresa rastreia os desenvolvedores e as atividades relacionadas a esses kits sob o nome Storm-2990.
O Iron Man System contém mais de 2.335 modelos personalizados para mais de 139 países e se faz passar por marcas e entidades governamentais, financeiras, de saúde, policiais e ligadas aos setores de transporte e varejo. A plataforma oferece restrição de conteúdo por localização geográfica, páginas CAPTCHA falsas, listas de bloqueio e permissão para endereços IP e configurações para evitar a detecção.
A plataforma também envia notificações instantâneas pelo Telegram quando a vítima insere credenciais de acesso, dados do cartão ou códigos de verificação. O kit coleta os dados por meio de WebSocket, permitindo que o operador acompanhe a interação da vítima e controle manualmente a etapa seguinte. A Microsoft afirma que esses recursos tornam os kits mais semelhantes a produtos comerciais de phishing multi-inquilino do que a ferramentas isoladas usadas por um único invasor.
O que muda na prática?
As descobertas revelam que o phishing moderno depende de uma economia de serviços distribuída: uma entidade fornece contas e armazenamento, outra desenvolve os modelos, e compradores executam as campanhas finais. Essa divisão reduz a barreira de entrada para invasores menos experientes e transforma o abuso de ambientes de nuvem legítimos em parte de uma cadeia de suprimentos criminosa difícil de associar a uma única campanha.
A Microsoft observou que as atividades posteriores incluíram roubo de credenciais, phishing por meio do fluxo de código do dispositivo para obter tokens de acesso e fraude financeira usando dados de pagamento roubados. Por isso, recomenda que as organizações treinem os usuários para reconhecer sinais de urgência e links inesperados, adotem autenticação multifator resistente a phishing ou chaves de acesso e restrinjam as permissões de Global Administrator de acordo com o princípio do menor privilégio e do Zero Trust.
Outras medidas incluem revisar as configurações do Exchange Online Protection e do Microsoft Defender for Office 365, ativar o Safe Links para destinatários internos, limitar o registro de métodos de autenticação a locais e dispositivos confiáveis e habilitar a proteção de rede para impedir o acesso a domínios e conteúdos maliciosos. Os números e as avaliações apresentados no relatório continuam baseados no monitoramento da Microsoft, enquanto a fonte não esclareceu o escopo das medidas legais detalhadas nem a duração da interrupção.