Una operación global que involucra Microsoft a autoridades japonesas y empresas de ciberseguridad ha desbaratado una gran red criminal responsable de enviar más de mil millones de correos electrónicos y mensajes de texto de phishing. La red se dirigió a personas y empresas en más de 150 países, utilizando herramientas ya preparadas para hacerse pasar por organizaciones de confianza y robar información sensible.
La investigación comenzó después de que la Agencia Nacional de Policía de Japón alertara a Microsoft sobre fraudes generalizados en línea. Lo que inicialmente parecían campañas de phishing separadas acabó rastreándose hasta un ecosistema conectado de servicios criminales, incluyendo un mercado clandestino llamado YAM Store.
YAM Store suministraba a los ciberdelincuentes cuentas de Microsoft y Google comprometidas u obtenidas fraudulentamente, recursos en la nube y otra infraestructura. Sus operadores también explotaron dominios web caducados pertenecientes a organizaciones legítimas, reconstruyendo sus sitios web para que las cuentas y servicios fraudulentos parecieran fiables.
Los investigadores conectaron el mercado con tres plataformas de phishing conocidas como CoGUI, Haozi e Iron Man System. Estos servicios permitieron a los delincuentes lanzar ataques sin desarrollar sus propios sitios web de phishing, reduciendo significativamente las habilidades técnicas necesarias para llevar a cabo fraudes a gran escala.
Iron Man se hizo especialmente prominente durante 2026. La plataforma ofreció más de 2.300 plantillas que imitaban a bancos, minoristas, empresas de reparto, agencias gubernamentales y otras organizaciones, permitiendo a los atacantes adaptar páginas de phishing a diferentes países e industrias.
Las víctimas solían recibir correos electrónicos o SMS de phishing advirtiendo sobre peajes impagados, multas de tráfico, problemas de entrega o cuentas que requerían verificación. Los enlaces dirigían a los destinatarios a sitios web de imitación convincentes diseñados para recopilar contraseñas, información de tarjetas de pago y otros datos personales.
Algunas campañas también usaron phishing por código de dispositivo, que puede engañar a los usuarios para que autoricen el acceso a sus cuentas de Microsoft. Las plataformas de phishing incorporaron restricciones geográficas, comprobaciones CAPTCHA falsas y otros mecanismos destinados a frustrar las investigaciones de seguridad.
Microsoft informó que el ecosistema criminal atacó a más de 75.000 organizaciones en todo el mundo. Desde enero de 2026, más de 750 millones de mensajes maliciosos se dirigieron solo a clientes de Microsoft.
Mediante una orden judicial emitida en Florida, Microsoft y el Centro de Compartición y Análisis de Información Sanitaria incautaron y redirigieron dominios que apoyaban la operación. Microsoft también deshabilitó más de 20.000 cuentas asociadas y bloqueó aproximadamente 100.000 dominios usados para suplantación y fraude.
La investigación contó con la asistencia adicional de Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs y organizaciones japonesas de ciberseguridad.
Aunque la interrupción eliminó una infraestructura criminal sustancial, no establece que todos los operadores asociados hayan sido identificados o detenidos. Los hallazgos también muestran cómo los servicios comerciales de phishing pueden permitir fraudes a gran escala al hacer accesibles ataques sofisticados para delincuentes con conocimientos técnicos limitados.