Microsoft y Health-ISAC han incautado y redirigido dominios detrás de tres servicios de cibercrimen en idioma chino, YAM Store, CoGUI y Iron Man, Microsoft. dijo el miercoles. Desde enero de 2026, los tres servicios permitieron más de mil millones mensajes maliciosos Dirigiéndose a más de 75.000 organizaciones en todo el mundo.
Más de 750 millones de esos mensajes estaban dirigidos a clientes de Microsoft, dijo la compañía. Se dirigieron a consumidores, grupos de atención médica, bancos y otras empresas en más de 150 países. Generaron decenas de millones de dólares para los operadores de los servicios.
«Lo que parece ser un simple mensaje fraudulento es a menudo el final visible de una operación cibercriminal transnacional mucho más grande». Steven Masada, director general de la Unidad de Delitos Digitales de Microsoft
Un camino que empezó en Japón
La investigación comenzó a finales de 2025, después de que la Agencia de Policía Nacional de Japón alertara a Microsoft sobre campañas de estafa apuntar gente en japon. Se amplió para involucrar al Centro de Control de Delitos Cibernéticos de Japón, Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs. Microsoft también compartió inteligencia con el Servicio Secreto de Estados Unidos y socios internacionales encargados de hacer cumplir la ley.
Una tienda para estafadores
YAM Store funcionaba de manera muy parecida a una tienda en línea, dijo Microsoft. Los clientes pueden buscar y comparar precios. Podrían comprar cuentas fraudulentas de Microsoft y Google y herramientas de estafa ya preparadas. En algunos casos, sus operadores adquirieron dominios que organizaciones sin fines de lucro y escuelas habían dejado caducar. Reconstruyeron los sitios web para vender cuentas de Microsoft 365. La tienda aceptó pagos a través de Alipay, WeChat Pay y USDT, según Inteligencia de amenazas de Microsoft.
CoGUI proporcionó a los delincuentes sitios web ya preparados y mensajes que se hacían pasar por organizaciones confiables. A mediados de 2026, una oferta más nueva llamada Iron Man lo reemplazaba cada vez más. Los investigadores identificaron más de 2.300 plantillas de Iron Man que se hacían pasar por bancos, minoristas, proveedores de atención médica, departamentos de policía y agencias gubernamentales. La mayoría de sus atractivos en Estados Unidos se referían a asuntos gubernamentales o de transporte, como el tráfico y las tarifas de estacionamiento, dijo Microsoft.
Los actores de amenazas de habla china desarrollaron los kits, evalúa Microsoft con gran confianza. Los delincuentes los utilizaron para robar contraseñas y datos de pago. El objetivo era comprar bienes de alta gama o realizar transacciones en plataformas financieras con los datos robados.
El derribo
Microsoft y Health-ISAC actuaron bajo una orden del Tribunal de Distrito de EE. UU. para el Distrito Sur de Florida. Microsoft ha deshabilitado más de 20.000 cuentas conectadas a YAM Store. También está bloqueando más de 100.000 dominios utilizados para suplantación de identidad y fraude.
«YAM Store, CoGUI y Iron Man son sólo parte de esa red criminal más grande, pero interrumpirlas dificulta que los delincuentes obtengan las cuentas, herramientas e infraestructura de las que dependen». Steven Masada, Microsoft