Desde o início de 2026, uma rede criminosa transnacional enviou mais de 1,1 bilhão de mensagens maliciosas — incluindo e-mails de phishing, SMS fraudulentos e notificações falsas — contra mais de 75 mil organizações em 150 países. Na quarta-feira (14/10), a Microsoft anunciou o desmantelamento dessa infraestrutura através de uma operação coordenada com a Agência Nacional de Polícia do Japão (NPA), o Centro de Combate ao Cybercrime do Japão (JC3), a organização de segurança Health-ISAC e parceiros internacionais como Cloudflare, Oracle, Proofpoint, Resecurity e TRM Labs.
O que começou como uma onda de atividades fraudulentas direcionadas a pessoas e empresas no Japão se revelou muito mais do que o esperado. Em vez de campanhas isoladas de scam, os investigadores descobriram um ecossistema cibernético organizado em três camadas interdependentes: um mercado de acesso inicial (YAM Store), kits de phishing prontos para uso (CoGUI e Iron Man) e uma infraestrutura de hospedagem massiva para mensagens fraudulentas.
A economia underground do cybercrime
YAM Store, também conhecida como Storm-3119, operava como uma loja online onde criminosos podiam comprar contas e ambientes comprometidos ou obtidos fraudulentamente de Microsoft e Google. Os operadores podiam navegar por preços, comparar tipos de assinatura, selecionar domínios vinculados a organizações reais ou vencidas, e até criar empresas inteiras a partir do zero — com conteúdo e documentos gerados por IA.
Em ambientes Microsoft comprometidos, os operadores utilizavam credenciais de aplicativo roubadas para gerenciar contas e licenças, e abusavam do SharePoint e OneDrive para hospedar material malicioso. Segundo a Microsoft, foram desativadas mais de 20 mil contas conectadas ao YAM Store e bloqueados mais de 100 mil domínios usados para supressão e fraude.
A segunda camada era composta pelos próprios kits de phishing. O CoGUI, rastreado como Storm-2990, fornecia sites e mensagens prontas que se passavam por empresas confiáveis, instituições financeiras e agências governamentais. Foi amplamente utilizado para atingir pessoas no Japão e nos Estados Unidos. Já o Iron Man — que se tornou o kit preferido a partir do meio de 2026 — oferecia mais de 2.300 modelos pré-construídos para impersonar serviços de correio, agências de multas de trânsito, departamentos fiscais, bancos, operadoras de telecomunicações e varejistas. O Iron Man era oferecido como um serviço de phishing-as-a-service, com assinaturas que davam acesso a milhares de modelos adaptados para mais de 130 países.
A empresa de segurança Resecurity, que participou da investigação, analisou a infraestrutura exposta do Iron Man e encontrou um registry Git/container público com 911 builds publicadas e oito contas registradas. Dentro dele, os pesquisadores identificaram um subsistema de seleção de produtos vinculado à captura de dados de cartões de pagamento, catalogando 2.360 pacotes de phishing cobrindo 130 países e áreas, com atualizações até 1º de outubro de 2026.
Mensagens que parecem reais
As mensagens enviadas por esses kits eram meticulosamente elaboradas. O CoGUI incluía notificações falsas de pagamento de pedágio não pago, multas de trânsito, problemas de entrega e solicitações de verificação de conta. O Iron Man ia além, suportando geofencing, CAPTCHAs falsos e filtragem de IP para dificultar a detecção por analistas de segurança.
A pesquisa mostrou que os três kits — CoGUI, CoAceV e CoFish_Ws — utilizaram mais de 17 mil domínios. Em campanhas identificadas pela Proofpoint no final de 2024, os atacantes impersonavam empresas japonesas bem conhecidas e organizações internacionais para roubar credenciais e dados de pagamento.
Microsoft 365 foi o alvo principal. Desde janeiro de 2026, os atacantes enviaram mais de 750 milhões de mensagens maliciosas para clientes Microsoft 365, muitas delas utilizando phishing de código de dispositivo para obter tokens de autenticação — uma técnica que contorna a autenticação multifator (MFA) ao enganar a própria sessão do usuário, não a senha dele.
Por que a infraestrutura importa
O aspecto mais revelador desta operação é que ela desmontou não apenas o que os criminosos fazem, mas como eles compram o que precisam. O YAM Store representava uma forma de "as a service" que democratizava o cybercrime: em vez de precisar de habilidades técnicas para comprometer servidores, configurar domínios falsos ou escrever scripts de phishing, um ator malicioso podia simplesmente visitar um marketplace, escolher o que precisava e começar a enviar mensagens fraudulentas.
Isso explica por que a escala foi tão enorme — mais de 75 mil organizações em 150 países. Quando um crime é modularizado e vendido como serviço, a barreira de entrada cai drasticamente. Qualquer pessoa com acesso à internet e um método de pagamento pode se tornar um operador de phishing, e a única limitação é a criatividade do kit que ele escolheu.
A investigação foi iniciada no final de 2025, quando a NPA alertou a Microsoft sobre campanhas maliciosas. O que os investigadores esperavam encontrar — uma série de golpes isolados — mostrou-se uma operação organizada e em escala industrial, com três componentes trabalhando juntos como uma cadeia de suprimentos criminosa. O YAM Store fornecia a matéria-prima (contas comprometidas), os kits de phishing eram as ferramentas de produção, e a infraestrutura de hospedagem era o canal de distribuição.
A Microsoft já desativou mais de 20 mil contas e continua removendo infraestrutura de seus serviços. A questão que fica é se a desmontagem destes três componentes será suficiente para desmantelar uma rede que, como outras operações de cybercrime, pode simplesmente se reorganizar em outro formato — ou se a pressão legal e técnica aplicada pela Microsoft, Health-ISAC e seus parceiros internacionais será suficiente para fazer o modelo econômico do YAM Store se tornar inviável. O mercado de phishing como serviço não desaparece com um único golpe judicial; ele se adapta. O que importa agora é se a resposta dos investigadores está à altura da velocidade com que o crime digital se reinventa.
Fontes: The Verge, BleepingComputer, The Record from Recorded Future
✓ Fontes independentes cruzadas e verificadas antes da publicação
