Uma operação global envolvendo Microsoft autoridades japonesas e empresas de cibersegurança desmantelou uma grande rede criminosa responsável pelo envio de mais de um bilhão de e-mails e mensagens de texto de phishing. A rede tinha como alvo pessoas e empresas em mais de 150 países, usando ferramentas prontas para se passar por organizações confiáveis e roubar informações sensíveis.
A investigação começou depois que a Agência Nacional de Polícia do Japão alertou a Microsoft sobre fraudes online generalizadas. O que inicialmente parecia ser campanhas de phishing separadas acabou sendo rastreado até um ecossistema conectado de serviços criminosos, incluindo um mercado clandestino chamado YAM Store.
A YAM Store forneceu aos cibercriminosos contas Microsoft e Google comprometidas ou obtidas fraudulentamente, recursos em nuvem e outras infraestruturas. Seus operadores também exploraram domínios de sites expirados pertencentes a organizações legítimas, reconstruindo seus sites para fazer contas e serviços fraudulentos parecerem confiáveis.
Os investigadores conectaram o mercado a três plataformas de phishing conhecidas como CoGUI, Haozi e Iron Man System. Esses serviços permitiram que criminosos lançassem ataques sem desenvolver seus próprios sites de phishing, reduzindo significativamente as habilidades técnicas necessárias para realizar fraudes em larga escala.
O Homem de Ferro tornou-se particularmente proeminente durante 2026. A plataforma ofereceu mais de 2.300 modelos imitando bancos, varejistas, empresas de entrega, agências governamentais e outras organizações, permitindo que atacantes personalizassem páginas de phishing para diferentes países e setores.
As vítimas normalmente recebiam e-mails ou SMS de phishing alertando sobre pedágios rodoviários não pagos, multas de trânsito, problemas de entrega ou contas que exigiam verificação. Links direcionavam os destinatários a sites de imitação convincentes projetados para coletar senhas, informações de cartões de pagamento e outros dados pessoais.
Algumas campanhas também usaram phishing por código de dispositivo, que pode enganar usuários para autorizar o acesso às suas contas Microsoft. As plataformas de phishing incorporaram restrições geográficas, cheques CAPTCHA falsas e outros mecanismos destinados a frustrar investigações de segurança.
A Microsoft informou que o ecossistema criminoso tinha como alvo mais de 75.000 organizações ao redor do mundo. Desde janeiro de 2026, mais de 750 milhões de mensagens maliciosas foram direcionadas apenas a clientes da Microsoft.
Usando uma ordem judicial emitida na Flórida, a Microsoft e o Centro de Compartilhamento e Análise de Informações em Saúde apreenderam e redirecionaram domínios que apoiavam a operação. A Microsoft também desativou mais de 20.000 contas associadas e bloqueou aproximadamente 100.000 domínios usados para personificação e fraude.
A investigação envolveu assistência adicional da Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs e organizações japonesas de cibersegurança.
Embora a interrupção tenha removido uma infraestrutura criminosa substancial, ela não estabelece que todos os operadores associados tenham sido identificados ou parados. Os achados também mostram como serviços comerciais de phishing podem permitir fraudes em larga escala ao tornar ataques sofisticados acessíveis a criminosos com conhecimento técnico limitado.