Microsoft desbarata una red de phishing detrás de 1.000 millones de mensajes

Microsoft y un grupo de socios han desbaratado un mercado de ciberdelincuencia y tres kits de phishing vinculados a más de 1.000 millones de correos y mensajes de texto fraudulentos este año. La operación se anunció el 14 de octubre de 2026. Se llevó a cabo en virtud de una orden de un tribunal federal de EE. UU. en Florida. Microsoft desactivó más de 20.000 cuentas y bloqueó más de 100.000 dominios. Los kits se alquilaban como servicio, lo que permitía a personas con poca pericia lanzar grandes campañas de phishing.

Qué se ha desmantelado

Según el anuncio de Microsoft, los objetivos eran un mercado llamado YAM Store y tres kits de phishing: CoGUI, Haozi e Iron Man. Un kit de phishing es software listo para usar. Sirve para crear páginas de inicio de sesión falsas y enviar los señuelos que llevan a ellas.

Microsoft sigue a YAM Store bajo el nombre Storm-3119 y a los desarrolladores de los kits como Storm-2990. Afirma con un alto grado de confianza que los kits los crearon actores de habla china.

YAM Store vendía acceso a inquilinos (tenants) de Microsoft 365 y Azure for Education, entornos de Microsoft y Google, licencias, almacenamiento y credenciales. Algunos operadores compraban dominios caducados de organizaciones sin ánimo de lucro y de educación para obtener cuentas de Microsoft 365 y revenderlas, según TRM Labs.

La magnitud

Medida	Cifra
Correos y mensajes de texto de phishing enviados desde enero de 2026	Más de 1.000 millones
Mensajes dirigidos a clientes de Microsoft	Más de 750 millones
Organizaciones atacadas	Más de 75.000
Países	Más de 150
Cuentas desactivadas por Microsoft	Más de 20.000
Dominios bloqueados por Microsoft	Más de 100.000

The Hacker News informa de que los tres kits usaron unos 17.000 dominios únicos.

Cómo funcionaban los kits

El kit Iron Man ofrecía más de 2.335 plantillas que cubrían más de 139 países, según Microsoft. Suplantaba a organismos gubernamentales, entre ellos autoridades de tráfico y aparcamiento. También suplantaba a bancos, proveedores de atención sanitaria, comercios minoristas y servicios de streaming.

Los kits usaban varios trucos para evitar la detección:

• Páginas CAPTCHA falsas que bloquean los escáneres de seguridad automatizados.
• Filtros de ubicación y listas de IP que muestran la estafa solo a los objetivos previstos.
• Alertas de Telegram que avisan al operador cuando una víctima introduce sus datos.
• Sesiones en directo que permiten a los operadores interactuar con una víctima en tiempo real.

Recopilaban datos de inicio de sesión y de tarjetas de pago. En algunos casos, los atacantes abusaron del inicio de sesión con código de dispositivo (device code) para robar tokens de acceso. Es un flujo de inicio de sesión en el que se escribe un código corto en un segundo dispositivo.

Cómo se armó el caso

La Agencia Nacional de Policía de Japón alertó a Microsoft a finales de 2025, a raíz de fraudes dirigidos contra personas y empresas de Japón, según Microsoft y TRM Labs. Entre los socios figuraban el centro de ciberdelincuencia japonés JC3, Health-ISAC, Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs. Microsoft dice que el Servicio Secreto de EE. UU. también participó.

TRM Labs dice que su inteligencia ayudó a localizar y congelar activos vinculados al grupo. No se ha anunciado ninguna detención.

«El mensaje de estafa suele ser lo único que ven las víctimas», escribió Steven Masada, que dirige la Digital Crimes Unit (Unidad de Delitos Digitales) de Microsoft. CyberScoop recoge sus palabras sobre lo difícil que es erradicar estos servicios: «Eliminas y bloqueas uno, y otro ocupa su lugar».

Microsoft sitúa la sanidad, los servicios financieros, la distribución mayorista y las TI entre los sectores más atacados. Japón, EE. UU., Australia e India fueron los países más atacados.

Qué significa esto para los desarrolladores

Para los equipos que gestionan la identidad, el correo electrónico o el inicio de sesión de su organización:

• Use un inicio de sesión resistente al phishing. Microsoft recomienda las passkeys (llaves de acceso) y la autenticación multifactor resistente al phishing, sobre todo para las cuentas de administrador. Las páginas de inicio de sesión falsas no pueden reutilizar una passkey.
• Revise el inicio de sesión con código de dispositivo. Los atacantes abusaron de él para robar tokens. Si sus usuarios no lo necesitan, plantéese bloquearlo en sus directivas de acceso.
• Limite dónde se registra la MFA. Microsoft aconseja permitir nuevos métodos de MFA y passkeys solo desde ubicaciones y dispositivos de confianza.
• Trate con cuidado los dominios educativos y de organizaciones sin ánimo de lucro. YAM Store vendía cuentas en inquilinos .edu y .org de aspecto auténtico. Un dominio de remitente que parece de confianza no prueba que el remitente lo sea.
• Cuente con que aparezcan sustitutos. Desmantelar kits frena a los atacantes, pero surgen otros nuevos. Las defensas que no dependen de detectar cada página falsa duran más.