Phishing: Microsoft incauta dominios de 3 plataformas chinas
Microsoft ha desarticulado tres plataformas de phishing utilizadas por ciberdelincuentes chinos. Según la compañía, estas plataformas enviaron cientos de millones de mensajes maliciosos que suplantaban a más de 75.000 organizaciones de todo el mundo.
Las plataformas son YAM Store, CoGUI e Iron Man. Microsoft obtuvo una orden judicial en Estados Unidos que le permitió incautar y redirigir dominios de su infraestructura. Para ello colaboró con la Agencia Nacional de Policía de Japón y con Health-ISAC, una organización de ciberseguridad del ámbito sanitario que comparte información sobre amenazas en todo el sector.
Desde enero, los tres servicios hicieron posible el envío de más de 750 millones de mensajes dirigidos solo a clientes de Microsoft. Las campañas llegaron a consumidores, organizaciones sanitarias, entidades financieras y otras empresas de más de 150 países, y reportaron a sus operadores decenas de millones de dólares. La mayoría de las herramientas estaban diseñadas para robar credenciales, datos personales, información bancaria y otros datos de acceso.
De un aviso de la policía japonesa a todo un ecosistema
Según Steven Masada, consejero general adjunto de la Unidad de Delitos Digitales de Microsoft, la investigación arrancó el año pasado. Agentes de la policía japonesa alertaron de campañas de mensajes dirigidas a personas en Japón.
Los investigadores siguieron el rastro de esas campañas hasta un ecosistema de ciberdelincuencia en lengua china. Empezó con CoGUI, pero pronto fue más allá. A medida que Microsoft y las autoridades japonesas vinculaban más campañas de estafa a la misma infraestructura, la pista les llevó hasta YAM Store.
La investigación también detectó similitudes entre la infraestructura de las tres plataformas. Microsoft considera que esto apunta a una estrecha colaboración entre sus desarrolladores o a un origen común en su desarrollo.
Tres servicios, tres funciones
CoGUI proporcionaba a los delincuentes webs y mensajes listos para usar que suplantaban a marcas de confianza, empresas, organismos públicos y entidades financieras. Se utilizó de forma masiva contra personas en Japón, pero a mediados de 2026 sus usuarios habían empezado a pasarse a Iron Man.
Iron Man funciona como un servicio de kits de phishing por suscripción. Los suscriptores tienen acceso a más de 2.300 páginas señuelo prediseñadas que se hacen pasar por empresas de mensajería y correos, oficinas de multas de tráfico, agencias tributarias, bancos, operadoras de telecomunicaciones y otros servicios de confianza. Las plantillas están adaptadas a Australia, Japón, India y decenas de países más. Según Microsoft, el servicio también permitía a los delincuentes "desplegar rápidamente contenido de correo electrónico, SMS y web adaptado a marcas, sectores y países concretos".
YAM Store desempeñaba otro papel. Microsoft lo describe como un mercado de intermediarios de acceso inicial que "vende infraestructura basada en entornos comprometidos u obtenidos de forma fraudulenta en proveedores como Microsoft y Google". Los delincuentes podían buscar las cuentas fraudulentas de Microsoft y Google más baratas para llevar a cabo sus estafas.
"El mercado ofrece infraestructura variada en función de la antigüedad, el tipo de suscripción y el tipo de entorno, como el educativo (.edu) o el de organizaciones sin ánimo de lucro (.org)", explicó Microsoft.
Los compradores también podían hacerse con dominios vinculados a nombres de organizaciones legítimas o caducadas. Algunos compraron dominios que empresas reales habían dejado caducar y los reconstruyeron para que parecieran plataformas auténticas. Después, esas webs se usaban para robar credenciales de Microsoft 365, que podían revenderse en YAM Store.
Dominios incautados y cuentas desactivadas
En virtud de la orden judicial, Microsoft incautó y redirigió los dominios y desactivó más de 20.000 cuentas relacionadas con YAM Store. La compañía sigue retirando la infraestructura alojada en sus propios servicios y está bloqueando más de 100.000 dominios utilizados para suplantaciones.
Microsoft compartió información con socios de las fuerzas de seguridad de Estados Unidos y de otros países. Además, colaboró con la empresa de ciberseguridad Resecurity para infiltrarse en las webs.
Masada afirmó que estas herramientas están detrás de muchos de los SMS fraudulentos sobre peajes y de los falsos mensajes de entrega que la gente recibe a diario.
La operación forma parte de una ofensiva más amplia. El mes pasado, Microsoft utilizó una autorización judicial para desmantelar EvilTokens, una plataforma ciberdelictiva basada en IA, y colaboró con la policía del Reino Unido para detener a sus presuntos operadores. En junio, desmanteló cientos de servidores y dominios vinculados a infraestructura de ciberdelincuencia como servicio utilizada para distribuir los malware SocGholish, Amadey y StealC. A lo largo del último año también ha ido a por RaccoonO365 y RedVDS.
Nuestro análisis
Este caso demuestra que el phishing se ha convertido en una cadena de suministro. Un servicio vende plantillas de señuelos, otro aloja webs listas para usar y un tercero vende acceso a cuentas en la nube comprometidas o fraudulentas. Que Microsoft haya ido a por el intermediario de acceso además de por los kits sugiere que quiere encarecer varios eslabones de esa cadena a la vez, y no solo tumbar páginas sueltas.
Aun así, el salto de CoGUI a Iron Man a principios de este año es una advertencia. Los clientes criminales se movieron rápido cuando les convino, y podría volver a pasar. Kits como Milk Dragon demuestran que el mercado está saturado. Habrá que estar atentos a si los operadores se reorganizan con otros nombres y a si la cooperación con la policía japonesa acaba en detenciones. Para los equipos de defensa, los dominios caducados con nombres de empresas reales siguen siendo un riesgo que conviene vigilar.