Microsoft desarmó una red de phishing que enviaba más de 1.000 millones de mensajes

La Unidad de Crímenes Digitales de Microsoft anunció el 14 de octubre de 2026 una operación para desarmar una red de phishing en idioma chino que, según la compañía, envió más de 1.000 millones de mensajes maliciosos en lo que va del año. La empresa obtuvo una orden judicial en Florida para incautar y redirigir dominios clave de la infraestructura.

Qué era YAM Store

El corazón del caso era YAM Store, un mercado clandestino que vendía entornos comprometidos de Microsoft 365 y Google. Funcionaba como una tienda online, con catálogo, revendedores y contacto con compradores vía Telegram. Aceptaba pagos por Alipay, WeChat Pay y la criptomoneda USDT.

Según Microsoft, los vendedores reutilizaban nombres de organizaciones vencidas o ya usadas y los combinaban con datos legítimos de clientes para armar nuevos entornos. Esa "buena reputación" los volvía más difíciles de bloquear por los filtros. Entre ellos había dominios .edu y .org.

Los kits de phishing

La investigación también alcanzó a tres kits de estafa: CoGUI, Haozi e Iron Man System. Este último empezó a operar en junio de 2026, tiene más de 2.300 plantillas de suplantación y se usó en más de 139 países, según Microsoft.

Los kits ofrecían segmentación geográfica, falsos CAPTCHA, listas de bloqueo, un bot de alertas por Telegram y monitoreo en vivo de las víctimas. Algunos ataques buscaban robar tokens de acceso después de que el usuario iniciara sesión en servicios legítimos.

Las cifras del ataque

Microsoft sostiene que los mensajes alcanzaron a más de 75.000 organizaciones en más de 150 países, con Japón y Estados Unidos a la cabeza. Más de 750 millones de los mensajes apuntaron a clientes de Microsoft.

Los sectores más golpeados fueron salud, servicios financieros, distribución mayorista y tecnología. Por su parte, el medio BleepingComputer informó que se desactivaron más de 20.000 cuentas asociadas a YAM Store.

Cómo empezó la investigación

La pesquisa comenzó a fines de 2025, cuando la Agencia Nacional de Policía de Japón alertó a Microsoft sobre campañas dirigidas a ciudadanos japoneses. Microsoft atribuye YAM Store al grupo que rastrea como Storm-3119 y los kits a Storm-2990, y evalúa con alta confianza que los desarrolladores hablan chino.

Sin detenidos, por ahora

Ni Microsoft ni los medios consultados informaron arrestos o acusaciones formales. La empresa estima que los operadores ganaron decenas de millones de dólares y siguen prófugos. En noviembre de 2024, la misma unidad incautó 240 sitios de otro servicio de kits de phishing, que se reorganizó en lugar de desaparecer.

Qué puede hacer el usuario

Los especialistas recomiendan activar la autenticación en dos pasos con aplicaciones o llaves físicas en lugar de SMS, desconfiar de mensajes que piden iniciar sesión con urgencia y verificar siempre la dirección del sitio antes de ingresar credenciales.