Mil millones de mensajes y 75.000 objetivos: Microsoft desmantela una fábrica de estafas.

Más de mil millones de mensajes fraudulentos, 75 000 organizaciones y 150 países. Microsoft reveló toda una industria de servicios de ciberdelito, donde sitios web preparados, cuentas falsas y herramientas de engaño se vendían casi como productos habituales de Internet.

El 14 de octubre Microsoft, junto con Health-ISAC, anunció una operación contra tres servicios criminales: YAM Store, CoGUI e Iron Man. Desde enero de 2026, a través de la infraestructura asociada a ellos se difundieron mensajes dirigidos a clientes de bancos, centros médicos, empresas y usuarios particulares. Más de 750 millones de mensajes estaban destinados a clientes de Microsoft, y los ingresos de los operadores alcanzaban decenas de millones de dólares.

La investigación comenzó a finales de 2025, cuando la policía japonesa llamó la atención de Microsoft sobre envíos masivos de fraude. El rastro condujo a un mercado clandestino de habla china donde los delincuentes compraban prácticamente todo lo necesario para los ataques. El servicio CoGUI ofrecía sitios de phishing y mensajes que imitaban bancos, organismos gubernamentales y empresas conocidas.

YAM Store operaba como una tienda en línea convencional. Los compradores comparaban precios y adquirían cuentas falsas de Microsoft y Google junto con herramientas para el robo de credenciales. Microsoft realizó compras de verificación y confirmó el esquema de comercio. En casos concretos, los vendedores compraban dominios caducados de organizaciones educativas y sin fines de lucro, restauraban los sitios y obtenían a través de ellos cuentas de Microsoft 365.

A mediados de 2026 CoGUI empezó a ceder terreno a una plataforma más avanzada, Iron Man. A través de ella los delincuentes obtenían miles de plantillas de correos, SMS y páginas web para distintos países y sectores. Los investigadores hallaron más de 2300 variantes que imitaban bancos, tiendas, aerolíneas, policía y servicios gubernamentales. Las páginas falsas abarcaban más de 150 países, y la presencia de una marca ajena en la plantilla no significaba que la organización real hubiera sido vulnerada.

Para engañar se usaban motivos habituales: peajes impagados, problemas con la entrega de paquetes, notificaciones bancarias y deudas fiscales. A la víctima se le instaba a acceder urgentemente a un enlace, introducir la contraseña o los datos de pago. Una comercialización similar del fraude ya se había visto en la historia de la plataforma Lighthouse, que ofrecía herramientas listas para ataques masivos.

Durante la operación internacional Microsoft y Health-ISAC obtuvieron autorización judicial en Florida para incautar y redirigir dominios de la infraestructura criminal. La empresa desactivó más de 20 000 cuentas vinculadas a YAM Store y continúa bloqueando más de 100 000 dominios que se usaron para falsificar sitios y cometer fraudes.

En la investigación participaron la policía japonesa, JC3, Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs. La inteligencia artificial ayudó a vincular cuentas, sitios y servidores que inicialmente parecían independientes. Microsoft espera perturbar el funcionamiento de los proveedores de servicios criminales, y no solo de envíos concretos. La compañía aún no declara que toda la red esté completamente eliminada.