Desde el inicio de 2026, una red delictiva transnacional envió más de 1.100 millones de mensajes maliciosos —incluyendo correos electrónicos de phishing, SMS fraudulentos y notificaciones falsas— a más de 75.000 organizaciones en 150 países. El miércoles 14 de octubre, Microsoft anunció el desmantelamiento de esta infraestructura mediante una operación coordinada con la Agencia Nacional de Policía de Japón (NPA), el Centro de Combate al Cybercrime del Japón (JC3), Health-ISAC y socios internacionales como Cloudflare, Oracle, Proofpoint, Resecurity y TRM Labs.
Lo que comenzó como una ola de actividades fraudulentas dirigidas a personas y empresas en Japón se reveló como algo muy diferente de lo esperado. En lugar de campañas aisladas de fraude, los investigadores descubrieron un ecosistema cibernético organizado en tres capas interdependientes: un mercado de acceso inicial (YAM Store), kits de phishing listos para usar (CoGUI e Iron Man) y una infraestructura de alojamiento masiva para mensajes fraudulentos.
La economía subterránea del cybercrime
YAM Store, también conocida como Storm-3119, operaba como una tienda online donde los delincuentes podían comprar cuentas y entornos comprometidos o obtenidos fraudulentamente de Microsoft y Google. Los operadores podían navegar por precios, comparar tipos de suscripción, seleccionar dominios vinculados a organizaciones reales o vencidas, e incluso crear empresas enteras desde cero —con contenido y documentación generados por IA.
En entornos Microsoft comprometidos, los operadores utilizaban credenciales de aplicación robadas para gestionar cuentas y licencias, y abusaban de SharePoint y OneDrive para alojar material malicioso. Según Microsoft, se desactivaron más de 20.000 cuentas conectadas al YAM Store y se bloquearon más de 100.000 dominios utilizados para suplantación y fraude.
La segunda capa estaba compuesta por los propios kits de phishing. CoGUI, rastreado como Storm-2990, proporcionaba sitios web y mensajes listos para pasar por empresas de confianza, instituciones financieras y agencias gubernamentales. Fue ampliamente utilizado para atacar personas en Japón y Estados Unidos. Iron Man —que se convirtió en el kit preferido a partir de mediados de 2026— ofrecía más de 2.300 plantillas preconstruidas para suplantar servicios de correos, agencias de multas de tráfico, departamentos fiscales, bancos, operadoras de telecomunicaciones y minoristas. Iron Man se ofrecía como un servicio de phishing-as-a-service, con suscripciones que daban acceso a miles de modelos adaptados para más de 130 países.
La empresa de seguridad Resecurity, que participó en la investigación, analizó la infraestructura expuesta de Iron Man y encontró un registro Git/container público con 911 builds publicadas y ocho cuentas registradas. Dentro de él, los investigadores identificaron un subsistema de selección de productos vinculado a la captura de datos de tarjetas de pago, catalogando 2.360 paquetes de phishing cubriendo 130 países y áreas, con actualizaciones hasta el 1 de octubre de 2026.
Mensajes que parecen reales
Los mensajes enviados por estos kits estaban meticulosamente elaborados. CoGUI incluía notificaciones falsas de peaje no pagado, multas de tránsito, problemas de entrega y solicitudes de verificación de cuenta. Iron Man iba más allá, soportando geofencing, CAPTCHAs falsos y filtrado de IP para dificultar la detección por parte de analistas de seguridad.
La investigación mostró que los tres kits —CoGUI, CoAceV y CoFish_Ws— utilizaron más de 17.000 dominios. En campañas identificadas por Proofpoint a finales de 2024, los atacantes suplantaban empresas japonesas bien conocidas y organizaciones internacionales para robar credenciales y datos de pago.
Microsoft 365 fue el objetivo principal. Desde enero de 2026, los atacantes enviaron más de 750 millones de mensajes maliciosos a clientes de Microsoft 365, muchas de ellas utilizando phishing de código de dispositivo para obtener tokens de autenticación —una técnica que elude la autenticación multifactor (MFA) al engañar la propia sesión del usuario, no su contraseña.
Por qué importa la infraestructura
El aspecto más revelador de esta operación es que desmanteló no solo lo que los criminales hacen, sino cómo adquieren lo que necesitan. YAM Store representaba una forma de "as a service" que democratizaba el cybercrime: en lugar de necesitar habilidades técnicas para comprometer servidores, configurar dominios falsos o escribir scripts de phishing, un actor malicioso podía simplemente visitar un mercado, elegir lo que necesitaba y empezar a enviar mensajes fraudulentos.
Esto explica por qué la escala fue tan enorme —más de 75.000 organizaciones en 150 países. Cuando un crimen es modularizado y vendido como servicio, la barrera de entrada cae drásticamente. Cualquiera con acceso a internet y un método de pago puede convertirse en un operador de phishing, y la única limitación es la creatividad del kit que eligió.
La investigación fue iniciada a finales de 2025, cuando la NPA alertó a Microsoft sobre campañas maliciosas. Lo que los investigadores esperaban encontrar —una serie de golpes aislados— resultó ser una operación organizada y a escala industrial, con tres componentes trabajando juntos como una cadena de suministro delictiva. YAM Store suministraba la materia prima (cuentas comprometidas), los kits de phishing eran las herramientas de producción, y la infraestructura de alojamiento era el canal de distribución.
Microsoft ya desactivó más de 20.000 cuentas y continúa removiendo infraestructura de sus servicios. La pregunta que queda es si el desmantelamiento de estos tres componentes será suficiente para desmantelar una red que, como otras operaciones de cybercrime, podría simplemente reorganizarse en otro formato —o si la presión legal y técnica aplicada por Microsoft, Health-ISAC y sus socios internacionales será suficiente para hacer que el modelo económico de YAM Store se vuelva inviable. El mercado del phishing como servicio no desaparece con un solo golpe judicial; se adapta. Lo que importa ahora es si la respuesta de los investigadores está al ritmo con el que el crimen digital se reinventa.
Fuentes: The Verge, BleepingComputer, The Record from Recorded Future
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
