Microsoft desmantela un ecosistema de phishing que facilitó más de mil millones de mensajes fraudulentos

El 14 de octubre de 2026 Microsoft publicó en su Security Blog el análisis de un ecosistema de ciberdelincuencia de habla china que facilitaba phishing a gran escala, y anunció que su Digital Crimes Unit, en colaboración con agencias de aplicación de la ley y socios, había facilitado la interrupción de los principales desarrolladores e infraestructura. El ecosistema gira en torno al mercado clandestino YAM Store (rastreado como Storm-3119) y tres kits de phishing: CoGUI (también NX o FA), Haozi (Phoenix) e Iron Man System (todos agrupados como Storm-2990).

Desde enero de 2026 los actores detrás de estos kits facilitaron el envío de más de mil millones de correos electrónicos y mensajes SMS de phishing a más de 75.000 organizaciones en todo el mundo. Las campañas se dirigieron especialmente a sectores de sanidad, servicios financieros, distribución mayorista y TI en Japón, Estados Unidos, Australia e India. Microsoft evalúa con alta confianza que los kits fueron desarrollados por actores de habla china. A pesar de marcas distintas y canales de venta en Telegram separados, muestran capacidades muy similares, lo que sugiere orígenes compartidos, reutilización de código o colaboración estrecha.

YAM Store actúa como broker de acceso inicial. Vende infraestructura obtenida de entornos comprometidos o fraudulentos en Microsoft y Google, clasificados por antigüedad, tipo de suscripción y tipo de organización (incluyendo educativas .edu y sin ánimo de lucro .org). El proceso sigue cinco etapas: reconocimiento automatizado de tenants Microsoft 365, toma de control mediante paneles administrativos que usan secretos de aplicación para resetear contraseñas y asignar licencias, abuso de almacenamiento SharePoint y OneDrive como hosting masivo, soporte de DNS y certificados para operaciones de phishing, y una tienda automatizada que revende las cuentas y el almacenamiento. En algunos casos crean organizaciones fraudulentas, posiblemente con contenido generado por IA, para establecer tenants creíbles.

El kit Iron Man System ofrece más de 2.335 plantillas adaptadas a más de 139 países. Incluye geofencing, puertas CAPTCHA falsas, listas de IP bloqueadas o permitidas, y notificaciones en tiempo real vía bot de Telegram cuando la víctima introduce credenciales, datos de tarjeta o códigos de verificación. La recolección usa WebSocket para interacción en vivo. La actividad descendente observada incluye robo de credenciales, phishing de device code y fraude financiero.

Para un responsable TIC de un centro educativo, una red concertada o una organización que gestiona Microsoft 365 o Google Workspace, el caso es directamente relevante. Los entornos educativos y de organizaciones sin ánimo de lucro aparecen explícitamente como productos a la venta porque tienen buena reputación de envío y son más fáciles de secuestrar cuando los dominios expiran o los controles de acceso son débiles. Un Global Administrator comprometido permite persistencia a nivel de aplicación que sobrevive a resets de usuario y es más difícil de detectar.

Las recomendaciones de Microsoft se centran en lo básico bien hecho. Verificar mensajes que piden acciones urgentes aunque lleven marcas conocidas; educar a usuarios sobre técnicas de phishing y sobre el hecho de que los prompts de inicio de sesión legítimos de Microsoft identifican claramente la aplicación; revisar la configuración recomendada de Exchange Online Protection y Defender for Office 365, y aplicar Safe Links también a destinatarios internos. Endurecer identidades: MFA resistente a phishing o passkeys, Conditional Access, principio de mínimo privilegio y limitación estricta de quién puede ser Global Administrator, y registro de MFA solo desde dispositivos y ubicaciones de confianza.

El mensaje operativo es que el phishing a esta escala no depende solo de la ingeniería social del usuario final, sino de un mercado de infraestructura que incluye tenants legítimos secuestrados. Revisar periódicamente la actividad de administradores globales, los consentimientos de aplicaciones y las alertas de Entra ID Protection reduce el tiempo de detección cuando un actor ya ha comprado acceso a un entorno similar al propio.