A Microsoft anunciou na quarta-feira (14) uma operação internacional contra serviços utilizados para distribuir golpes digitais em grande escala. Com apoio de autoridades e parceiros de segurança, a empresa desativou mais de 20 mil contas e bloqueou mais de 100 mil domínios associados a uma infraestrutura criminosa que comercializava ferramentas prontas para fraudes.
Segundo a companhia, três serviços identificados como YAM Store, CoGUI e Iron Man viabilizaram mais de 1 bilhão de mensagens maliciosas desde janeiro de 2026, direcionadas a consumidores e mais de 75 mil organizações em mais de 150 países. Desse total, mais de 750 milhões tinham clientes da Microsoft como alvo.
A operação também envolveu a Health-ISAC, organização especializada em segurança do setor de saúde. Com autorização de um tribunal federal da Flórida, nos Estados Unidos, as entidades assumiram o controle e redirecionaram domínios utilizados pelos serviços investigados.
Os números divulgados representam a escala das campanhas associadas à infraestrutura, não a quantidade de vítimas que efetivamente tiveram dados roubados ou sofreram perdas financeiras.
Mercado criminoso vendia contas, sites falsos e ferramentas de phishing
A investigação revelou uma estrutura comercial na qual diferentes fornecedores ofereciam os recursos necessários para executar campanhas fraudulentas, dispensando os compradores de desenvolver suas próprias ferramentas.
O YAM Store funcionava como uma loja virtual clandestina. Seu catálogo incluía contas da Microsoft e do Google obtidas fraudulentamente, licenças e recursos de armazenamento que poderiam ser utilizados para sustentar operações criminosas.
Em determinados casos, os responsáveis adquiriam domínios expirados de organizações legítimas e reconstruíam seus sites para simular atividades comerciais ou institucionais. Essas identidades eram utilizadas para obter contas em serviços de nuvem, posteriormente revendidas.
Já o CoGUI e o Iron Man forneciam páginas e mensagens que imitavam instituições conhecidas. O Iron Man, comercializado por assinatura, reunia mais de 2.300 modelos de phishing, incluindo falsificações de bancos, varejistas, transportadoras e órgãos governamentais.
Os modelos permitiam reproduzir golpes envolvendo entregas não realizadas, cobranças de pedágio, multas e supostos problemas com contas bancárias. O objetivo era induzir usuários a informar senhas, dados pessoais ou informações de pagamento.
A divisão comercial entre fornecedores de infraestrutura e vendedores de ferramentas de phishing é um dos principais resultados da investigação. Os responsáveis pelas campanhas podiam adquirir contas, serviços e páginas fraudulentas de operadores especializados, reduzindo o conhecimento técnico necessário para executar os golpes.
Segundo a Microsoft, essa rede de serviços gerou dezenas de milhões de dólares para seus operadores.
A investigação começou no final de 2025, após a Agência Nacional de Polícia do Japão alertar a Microsoft sobre campanhas fraudulentas no país. O trabalho posteriormente envolveu organizações como Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs.
Embora a operação tenha atingido componentes importantes dessa estrutura, a própria Microsoft reconhece que YAM Store, CoGUI e Iron Man representam apenas parte de uma rede criminosa mais ampla. A empresa afirma que continua removendo infraestrutura associada às atividades identificadas.
