Microsoft revela red global de servicios para la ciberdelincuencia

Microsoft y la inteligencia proporcionada por JC3 ayudó a confirmar los servicios de delincuencia y la magnitud de la actividad que afectaba a las organizaciones japonesas y a sus clientes.

---

Estos mensajes son incesantes. Se elimina y bloquea uno, y otro ocupa su lugar. Se ignoran, y llegarán más. Se cae en uno, y se abren las compuertas. Lo que parece ser un simple mensaje fraudulento suele ser el extremo visible de una operación de ciberdelincuencia transnacional mucho más amplia.

Cuando Microsoft y la Agencia Nacional de Policía de Japón (NPA, por sus siglas en inglés) siguieron el rastro de una ola de actividades fraudulentas y estafas dirigidas a personas y empresas en Japón, esperaban encontrar campañas individuales. En cambio, se encontraron dentro de un extenso mercado de ciberdelincuencia en idioma chino donde los delincuentes podían comprar cuentas, servicios de alojamiento y herramientas utilizadas para crear sitios web falsos e identidades en línea.

La investigación se expandió a nivel mundial e involucró al Centro de Control de Ciberdelincuencia de Japón (JC3), Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs para descubrir los negocios que sustentan este ecosistema criminal.

Hoy, Microsoft y Health-ISAC, una organización global sin ánimo de lucro que ayuda a las organizaciones del sector salud a compartir información sobre amenazas cibernéticas y colaborar para mejorar su resiliencia operativa, están avanzando para desmantelar tres componentes de este mercado criminal: YAM Store, CoGUI e Iron Man.

Desde enero de 2026, YAM Store, CoGUI e Iron Man han facilitado colectivamente más de mil millones de mensajes maliciosos dirigidos a más de 75.000 organizaciones en todo el mundo, incluidos más de 750 millones de mensajes orientados únicamente a clientes de Microsoft. Estos mensajes han sido utilizados para atacar a consumidores, organizaciones de salud, instituciones financieras y otras empresas en más de 150 países, generando decenas de millones de dólares para sus operadores.

La investigación comenzó a finales de 2025 después de que la NPA de Japón alertara a Microsoft sobre campañas de mensajería maliciosa dirigidas a personas en Japón. La NPA continuó proporcionando inteligencia y apoyo investigativo mientras los socios rastreaban esas campañas hasta las empresas que suministraban servicios a delincuentes de todo el mundo.

El rastro condujo a los investigadores a las profundidades de un ecosistema de ciberdelincuencia en idioma chino, difícil de penetrar para investigadores que no eran hablantes nativos. Allí obtuvieron acceso a CoGUI, una plataforma que proporcionaba a los delincuentes sitios web y mensajes listos para usar que suplantaban a empresas, instituciones financieras, organismos gubernamentales y otras organizaciones de confianza. En lugar de crear ellos mismos sitios web fraudulentos, los delincuentes podían desplegar rápidamente páginas diseñadas para robar contraseñas, información de pago y otros datos personales.

A medida que la investigación de Microsoft avanzó, la inteligencia proporcionada por JC3 ayudó a confirmar la magnitud de la actividad que afectaba a las organizaciones japonesas y a sus clientes. Basándose en la información recopilada a través de su red de más de 130 organizaciones miembros, JC3 conectó lo que parecían incidentes aislados con un patrón más amplio de estafas dirigidas a empresas e instituciones financieras japonesas, incluidos intentos de defraudar a consumidores y de robar credenciales y otra información sensible.

Un nombre que apareció repetidamente durante toda la investigación fue YAM Store. YAM Store operaba de manera muy similar a una tienda en línea. Los clientes podían explorar productos, comparar precios y comprar cuentas fraudulentas de Microsoft y Google, así como otras herramientas listas para usar destinadas a llevar a cabo estafas, incluido el robo de credenciales. Las compras controladas realizadas por Microsoft ayudaron a confirmar cómo funcionaba.

En algunos casos, los operadores adquirían dominios de internet que organizaciones legítimas habían dejado expirar, a menudo enfocándose en determinados sectores, como organizaciones sin ánimo de lucro y entidades educativas, mediante ofertas especializadas. Posteriormente reconstruían esos sitios web para hacer que dichas organizaciones parecieran activas, lo que les permitía obtener de manera fraudulenta cuentas de Microsoft 365 que luego podían venderse a través de YAM Store.

YAM Store proporcionaba infraestructura criminal que con frecuencia se combinaba con herramientas y servicios como CoGUI. A medida que los investigadores profundizaban en el caso, descubrieron que el mercado ya estaba evolucionando. CoGUI se había convertido en una de las ofertas más utilizadas dentro del ecosistema, especialmente para atacar a víctimas en Japón y Estados Unidos, pero a mediados de 2026 estaba siendo reemplazada progresivamente por una nueva oferta conocida como Iron Man.

Iron Man amplió este modelo al proporcionar a los delincuentes acceso a miles de plantillas listas para usar diseñadas para suplantar a organizaciones de confianza. Los delincuentes podían desplegar rápidamente contenido por correo electrónico, mensajes de texto y sitios web adaptados a marcas, industrias y países específicos.

A través de compras de prueba y del trabajo conjunto con Resecurity, los investigadores obtuvieron acceso a Iron Man e identificaron más de 2.300 plantillas que suplantaban bancos, minoristas, proveedores de atención médica, autoridades de transporte, departamentos de policía, organismos gubernamentales y otras organizaciones en más de 150 países. Algunas estaban diseñadas para estafas de suplantación de organismos gubernamentales, utilizando la apariencia de una autoridad oficial para presionar a las víctimas a realizar pagos o revelar información personal sensible. Otras suplantaban organizaciones de diferentes industrias, países e idiomas, desde bancos y aerolíneas hasta empresas de telecomunicaciones, minoristas y servicios de entrega de paquetes.

Un blog de Microsoft Threat Intelligence comparte más detalles sobre esta red, así como recomendaciones para que los clientes puedan protegerse.

Ninguna organización tenía una visión completa de la situación. La NPA de Japón desempeñó un papel fundamental durante toda la investigación, proporcionando inteligencia, apoyo investigativo y colaboración que ayudaron a descubrir cómo operaba esta red. JC3 ayudó a dimensionar el impacto de la actividad sobre organizaciones y consumidores japoneses. Health-ISAC aportó información sobre los efectos en organizaciones del sector salud, mientras que Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs contribuyeron con inteligencia y apoyo investigativo.

Trabajando conjuntamente y con la ayuda de herramientas de inteligencia artificial, conectamos cuentas, sitios web e infraestructuras que inicialmente parecían no guardar relación entre sí, ayudando a exponer el mercado criminal más amplio que operaba detrás de ellas. Microsoft también trabajó estrechamente y compartió inteligencia con el Servicio Secreto de Estados Unidos y socios de las fuerzas del orden internacionales.

Esta investigación también refleja una tendencia más amplia destacada en el Microsoft Digital Defense Report de este año: el fraude moderno depende cada vez más de empresas y servicios que facilitan a los delincuentes llegar a más víctimas. Fue necesaria una colaboración bidireccional y el intercambio de información entre industrias y a través de fronteras internacionales para descubrir cómo funcionaban conjuntamente estos servicios profundamente interconectados.

Con una orden emitida por el Tribunal de Distrito de los Estados Unidos para el Distrito Sur de Florida, Microsoft y Health-ISAC tomaron control y redirigieron dominios que formaban parte de la infraestructura que impulsaba YAM Store, CoGUI e Iron Man. Microsoft ya ha deshabilitado más de 20.000 cuentas vinculadas a YAM Store y continúa desmantelando la operación mediante la eliminación de infraestructura alojada en sus servicios y el bloqueo de más de 100.000 dominios utilizados para suplantación de identidad y fraude.

Lo que comenzó como una actividad de estafa dirigida a personas y organizaciones en Japón condujo a los investigadores hasta una economía de servicios clandestina que suministraba recursos a delincuentes de todo el mundo. YAM Store, CoGUI e Iron Man son solo una parte de esa red criminal más amplia, pero interrumpir sus operaciones dificulta que los delincuentes accedan a las cuentas, herramientas e infraestructuras de las que dependen.

El mensaje fraudulento suele ser la única parte que ven las víctimas. Los negocios que están detrás son los que lo hacen posible.