Microsoft desarma tres servicios de phishing chinos ligados a más de mil millones de correos y SMS: multas de tránsito, peajes y cuentas de universidades secuestradas

El 14 de octubre de 2026, Microsoft y Health-ISAC anunciaron que habían obtenido una orden del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida para incautar y redirigir los dominios de tres servicios de phishing en idioma chino: YAM Store, CoGUI e Iron Man. Según Microsoft, desde enero de 2026 esos servicios permitieron enviar más de mil millones de correos y SMS de phishing a más de 75.000 organizaciones en más de 150 países, con ganancias de decenas de millones de dólares para sus operadores. Ya hablamos de este tipo de negocio cuando Tycoon2FA y EvilTokens se convirtieron en servicios por suscripción; esto es la versión más grande documentada hasta ahora.

Quién hace qué

Según Microsoft, el ecosistema funciona como una cadena de proveedores:

• YAM Store (que Microsoft sigue como Storm-3119) es un corredor de acceso inicial: vende infraestructura obtenida de forma fraudulenta en Microsoft y Google, como tenants de universidades (.edu) y organizaciones sin fines de lucro (.org). Busca nombres de organizaciones expiradas para evadir detecciones y, según Microsoft, también crea organizaciones ficticias con sitios web para dar credibilidad a esos tenants. Acepta pagos en Alipay, WeChat Pay y USDT. BankInfoSecurity informa de precios de unos 40 a 300 dólares.
• CoGUI e Iron Man son kits de phishing. Microsoft sigue a sus desarrolladores, junto con los de otros kits, como Storm-2990. Iron Man se volvió el kit dominante en 2026, después de las ventas previas de CoGUI y Haozi.

La clave está en la reputación: un mensaje enviado desde el tenant de una universidad real llega con mejor reputación de remitente que uno que sale de un dominio recién registrado. Esa es nuestra lectura, pero es la razón por la que a este negocio le sirve secuestrar o inventar organizaciones.

Las cifras

• Más de 1.000 millones de correos y SMS desde enero de 2026, según Microsoft, de los cuales más de 750 millones iban dirigidos a clientes de Microsoft.
• Más de 75.000 organizaciones objetivo, en más de 150 países.
• Más de 20.000 cuentas vinculadas a YAM Store deshabilitadas y más de 100.000 dominios de suplantación y fraude bloqueados.
• Iron Man: más de 2.335 plantillas dirigidas a más de 139 países, según Microsoft; Resecurity cuenta 2.360 plantillas en 130 países. La diferencia es de recuento, no de fondo.
• Los países más afectados, según Microsoft, fueron Estados Unidos y Japón.

Cómo funciona Iron Man

Según la nota de Microsoft:

• Los clientes pagan una suscripción para acceder al servidor de licencias del kit.
• Tras capturar los datos de la víctima, el kit los envía por WebSocket y el operador recibe notificaciones en Telegram en tiempo real.
• El operador puede controlar en directo lo que ve la víctima a continuación, lo que permite retransmitir contraseñas y códigos de verificación.
• Para evadir análisis usa geolocalización, CAPTCHA falsos, listas de IP permitidas y bloqueadas y configuración antidetección.

Los señuelos: multas, peajes, estacionamiento

Los mensajes suplantan gobiernos locales, incluidas multas de tránsito y de estacionamiento, peajes, policía, salud, finanzas, transporte y comercio minorista. En Estados Unidos, según Microsoft, la mayoría de los señuelos eran de transporte o gobierno. Los ejemplos que cita incluyen una autoridad de tránsito de Filipinas (por SMS), Amazon, Australia Post, Medicare y un proveedor financiero japonés.

¿Y América Latina? La nota de Microsoft no describe víctimas, cifras ni acciones en la región. El único rastro es indirecto: entre las capturas de plantillas de Iron Man hay una cuyo texto alternativo describe una página brasileña de consulta de multas de tránsito. No es una prueba de actividad en Brasil, solo un ejemplo de lo que ofrece el catálogo. Tampoco encontramos un vínculo documentado con la red de SMS de multas falsas que alertó México; son guiones parecidos, pero no podemos decir que sean los mismos actores.

Por qué tumbar un servicio no tumba el negocio

Microsoft dice que YAM Store, CoGUI e Iron Man son solo parte de una red criminal más grande, y los investigadores observaron infraestructura y actividad superpuestas que sugieren orígenes de desarrollo compartidos, reutilización de código o colaboración cercana. El director de la Unidad de Delitos Digitales lo resumió así, según CyberScoop: "Delete and block one, and another takes its place." El anuncio no informa de arrestos.

Si recibes SMS de multas, peajes o cobros con enlaces a páginas que no son del organismo real, mándanos una captura con el número de origen por el canal de alertas. Actualizaremos este expediente si Microsoft u otras autoridades publican arrestos o nuevos datos.