Microsoft anunció el miércoles (14) una operación internacional contra servicios utilizados para distribuir estafas digitales a gran escala. Con el apoyo de autoridades y socios de seguridad, la empresa desactivó más de 20 mil cuentas y bloqueó más de 100 mil dominios asociados a una infraestructura criminal que comercializaba herramientas listas para fraudes.
Según la compañía, tres servicios identificados como YAM Store, CoGUI e Iron Man posibilitaron más de 1 mil millones de mensajes maliciosos desde enero de 2026, dirigidas a consumidores y más de 75 mil organizaciones en más de 150 países. De ese total, más de 750 millones tenían a clientes de Microsoft como objetivo.
La operación también involucró a Health-ISAC, organización especializada en seguridad del sector salud. Con autorización de un tribunal federal de Florida, en Estados Unidos, las entidades asumieron el control y redirigieron dominios utilizados por los servicios investigados.
Las cifras divulgadas representan la escala de las campañas asociadas a la infraestructura, no la cantidad de víctimas que efectivamente tuvieron datos robados o sufrieron pérdidas financieras.
El mercado criminal vendía cuentas, sitios falsos y herramientas de phishing
La investigación reveló una estructura comercial en la que distintos proveedores ofrecían los recursos necesarios para ejecutar campañas fraudulentas, eximiendo a los compradores de desarrollar sus propias herramientas.
YAM Store funcionaba como una tienda virtual clandestina. Su catálogo incluía cuentas de Microsoft y Google obtenidas fraudulentamente, licencias y recursos de almacenamiento que podían utilizarse para sustentar operaciones criminales.
En determinados casos, los responsables adquirían dominios expirados de organizaciones legítimas y reconstruían sus sitios para simular actividades comerciales o institucionales. Esas identidades se utilizaban para obtener cuentas en servicios en la nube, posteriormente revendidas.
Por su parte, CoGUI y Iron Man proporcionaban páginas y mensajes que imitaban instituciones conocidas. Iron Man, comercializado por suscripción, reunía más de 2.300 modelos de phishing, incluyendo falsificaciones de bancos, minoristas, transportistas y organismos gubernamentales.
Los modelos permitían reproducir estafas relacionadas con entregas no realizadas, cobros de peajes, multas y supuestos problemas con cuentas bancarias. El objetivo era inducir a los usuarios a proporcionar contraseñas, datos personales o información de pago.
La división comercial entre proveedores de infraestructura y vendedores de herramientas de phishing es uno de los principales resultados de la investigación. Los responsables de las campañas podían adquirir cuentas, servicios y páginas fraudulentas de operadores especializados, reduciendo el conocimiento técnico necesario para ejecutar las estafas.
Según Microsoft, esa red de servicios generó decenas de millones de dólares para sus operadores.
La investigación comenzó a finales de 2025, después de que la Agencia Nacional de Policía de Japón alertara a Microsoft sobre campañas fraudulentas en el país. El trabajo posteriormente involucró a organizaciones como Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs.
Aunque la operación haya alcanzado componentes importantes de esa estructura, la propia Microsoft reconoce que YAM Store, CoGUI e Iron Man representan solo parte de una red criminal más amplia. La empresa afirma que continúa eliminando infraestructura asociada a las actividades identificadas.
