Phishing a gran escala: Microsoft destapa un mercado clandestino de ciberdelincuentes
A finales del año pasado, Microsoft empezó a investigar una campaña de phishing: mensajes fraudulentos que engañan a la gente para que revele contraseñas y otros datos. Al principio parecía otra campaña de correo basura. Pero detrás descubrieron un gran mercado clandestino en chino donde los ciberdelincuentes compraban y vendían cuentas, servicios de alojamiento web y herramientas para crear sitios falsos e identidades ficticias.
Microsoft informó de que encabezó una operación para desmantelar esta infraestructura junto con empresas de ciberseguridad, entre ellas Proofpoint, y las fuerzas del orden de Japón. La investigación comenzó después de que la Agencia Nacional de Policía de Japón (NPA) alertara a Microsoft de una oleada de estafas dirigidas contra los residentes y las empresas del país.
Los investigadores descubrieron el mercado clandestino YAM Store. Allí se vendían cuentas fraudulentas de Microsoft y Google, así como herramientas listas para engañar, entre ellas algunas para robar credenciales. Dos productos llamaron especialmente la atención: CoGUI e Iron Man. Según los investigadores, CoGUI era una plataforma para crear sitios web, mientras que Iron Man era una galería de plantillas.
CoGUI permitía a los delincuentes poner en marcha rápidamente sitios web y campañas de mensajes que se hacían pasar por empresas, bancos, organismos públicos y otras organizaciones en las que la gente suele confiar. En vez de crear una página falsa desde cero, el comprador podía desplegar una ya preparada para robar contraseñas, datos de pago y otra información personal. Según Microsoft, CoGUI se utilizó ampliamente contra usuarios de Japón y Estados Unidos.
A mediados de 2026, Iron Man empezó a desplazarlo poco a poco. Esta herramienta ofrecía miles de plantillas listas para imitar a organizaciones conocidas y ayudaba a crear rápidamente correos electrónicos, mensajes de texto y páginas web adaptados a marcas, sectores y países concretos. Microsoft encontró más de 2300 plantillas que imitaban a bancos, tiendas, organizaciones sanitarias, cuerpos policiales y otras entidades de más de 150 países.
La escala del mercado era considerable: solo este año, los servicios relacionados ayudaron a enviar más de mil millones de mensajes de phishing contra 75 000 organizaciones de todo el mundo. Los clientes de Microsoft recibieron más de 750 millones de esos mensajes desde principios de año. Según la empresa, los operadores ganaron decenas de millones de dólares con los ataques.
Para desmantelar la infraestructura, Microsoft y Health-ISAC —una organización internacional sin ánimo de lucro que ayuda a los centros sanitarios a compartir información sobre ciberamenazas— obtuvieron una orden judicial del Tribunal Federal de Distrito para el Distrito Sur de Florida. Se incautaron de los dominios vinculados a YAM Store, CoGUI e Iron Man y los redirigieron. Microsoft también desactivó más de 20 000 cuentas relacionadas con la tienda y sigue eliminando la infraestructura alojada en sus servicios. Según la empresa, la operación ya ha bloqueado más de 100 000 dominios utilizados para suplantar a organizaciones y cometer fraudes.
Microsoft señala que la investigación, iniciada a raíz de los ataques contra personas y empresas de Japón, llevó a los investigadores hasta una economía clandestina que prestaba servicio a delincuentes de todo el mundo. YAM Store, CoGUI e Iron Man eran solo una parte de una red más amplia, pero su cierre dificulta que los delincuentes accedan a cuentas, herramientas e infraestructura.
Sin embargo, los autores del artículo señalan que, si no hay detenciones, el mercado podría resurgir. Como ejemplo, citan el cierre a principios de 2025 de Cracked y Nulled, foros de productos y servicios ilegales de «ciberdelincuencia como servicio». Tenían más de 10 millones de usuarios. Entonces, las fuerzas del orden detuvieron a dos sospechosos e incautaron 17 servidores y más de 50 dispositivos electrónicos. Según las estimaciones de la investigación, los sospechosos obtuvieron más de un millón de dólares en beneficios ilícitos.
PEREC.RU
Microsoft ha anunciado una operación internacional contra YAM Store y las herramientas asociadas CoGUI e Iron Man, servicios que ayudaban a los ciberdelincuentes a lanzar ataques de phishing. El phishing es un engaño que consiste en hacer que alguien entre en una página falsa o responda a un mensaje para robarle la contraseña, los datos bancarios y otra información personal.
La investigación comenzó a finales del año pasado, tras la alerta de la Agencia Nacional de Policía de Japón sobre estafas contra residentes y organizaciones del país. Microsoft, junto con empresas privadas de ciberseguridad, entre ellas Proofpoint, y las fuerzas del orden japonesas, descubrió el mercado clandestino YAM Store, en chino. Allí se comerciaba con cuentas falsas de Microsoft y Google, servicios de alojamiento web y herramientas listas para crear sitios falsos y robar credenciales.
CoGUI proporcionaba sitios y mensajes preparados que imitaban a empresas, bancos, organismos públicos y otras organizaciones. Los delincuentes podían poner en marcha rápidamente páginas para robar contraseñas, datos de pago e información personal, sin tener que crearlo todo por su cuenta. CoGUI se utilizó ampliamente en ataques contra usuarios de Japón y Estados Unidos.
A mediados de 2026, Iron Man, una galería de plantillas listas para usar, empezó a desplazarlo. Microsoft identificó más de 2300 diseños que imitaban a bancos, tiendas, organizaciones sanitarias, cuerpos policiales y otras entidades de más de 150 países. Con ellos, los atacantes creaban correos electrónicos, SMS y sitios web adaptados a una marca, un sector o un país concretos.
Según Microsoft, solo este año las herramientas del ecosistema ayudaron a enviar más de mil millones de mensajes de phishing a 75 000 organizaciones de todo el mundo. Los clientes de Microsoft recibieron más de 750 millones de mensajes desde principios de año. La empresa calcula que los operadores ganaron decenas de millones de dólares.
Microsoft y Health-ISAC —una organización internacional sin ánimo de lucro que ayuda a los centros sanitarios a compartir información sobre ciberamenazas— actuaron amparadas por una orden del Tribunal Federal de Distrito para el Distrito Sur de Florida. Se incautaron de los dominios vinculados a YAM Store, CoGUI e Iron Man y los redirigieron. Microsoft desactivó más de 20 000 cuentas relacionadas con la tienda y sigue eliminando la infraestructura alojada en sus servicios. En total, el bloqueo afectó a más de 100 000 dominios utilizados para suplantar a organizaciones y cometer fraudes.
La operación complica las actividades de los delincuentes, pero los autores del artículo advierten de que, sin detenciones, el mercado podría recuperarse. A principios de 2025, las fuerzas del orden cerraron Cracked y Nulled, foros con productos y servicios ilegales de «ciberdelincuencia como servicio» que tenían más de 10 millones de usuarios. Entonces detuvieron a dos sospechosos e incautaron 17 servidores y más de 50 dispositivos electrónicos. La investigación calculó que sus beneficios ilícitos superaban el millón de dólares.
