Microsoft ha roto una de las mayores redes de phishing que operaban en la sombra: un mercado subterráneo llamado Yam Store que funcionaba como negocio de phishing como servicio (PhaaS), vendiendo a ciberdelincuentes todo lo necesario para lanzar campañas masivas. Según el informe publicado por la compañía el 14 de octubre, la infraestructura desmantelada está detrás de más de 1.000 millones de mensajes de phishing enviados desde enero de 2026.

La investigación arrancó gracias a la Agencia Nacional de Policía de Japón, que alertó a Microsoft a finales del año pasado sobre estafas dirigidas a consumidores y empresas. A partir de ahí, los investigadores llegaron a una red de habla china formada por operadores de kits de phishing, desarrolladores y un marketplace: Yam Store, al que Microsoft rastrea como Storm-3119.

Un supermercado para estafadores

Yam Store no era un simple foro. La plataforma vendía entornos y dominios de Microsoft y Google obtenidos de forma fraudulenta o comprometidos, además de cuentas y recursos en la nube. Algunos operadores resucitaban dominios caducados de organizaciones legítimas, reconstruían sus webs para que parecieran activas y así conseguían cuentas de Microsoft 365 que luego revendían en el escaparate automatizado del mercado.

En otros casos, el grupo creaba organizaciones falsas, probablemente con contenido generado por IA y documentos falsificados, para establecer tenants de Microsoft. Storm-3119 actuaba como access broker: revendía cuentas, licencias y almacenamiento a través de un escaparate automatizado para abastecer a operaciones posteriores. También mantenía un nivel de subrevendedores para ampliar la distribución.

Junto a la infraestructura, Yam Store ofrecía tres kits de phishing: CoGUI (también conocido como NX o FA), Haozi (alias Phoenix) e Iron Man System. Los tres se agrupan bajo la etiqueta Storm-2990 y estaban diseñados para suplantar a organizaciones y robar credenciales, datos de tarjetas y otro material financiero.

Los señuelos eran clásicos pero efectivos: peajes y multas de tráfico sin pagar, problemas con entregas de paquetes, imitaciones de bancos y organismos públicos y páginas de acceso falsas. El objetivo final, según Microsoft, era robar contraseñas, hacer phishing con códigos de dispositivo y usar los datos de pago para comprar artículos de lujo o realizar transacciones fraudulentas en plataformas financieras legítimas.

Una máquina de fraude a escala global

El alcance fue global: solo los kits de phishing fueron responsables de más de 1.000 millones de correos y mensajes de texto dirigidos a más de 75.000 organizaciones en más de 150 países. El informe menciona sectores como sanidad, servicios financieros, distribución mayorista y TI en Japón, EE. UU., Australia e India. Según la investigación, la actividad generó decenas de millones de dólares para sus operadores.

Yam Store también cobraba con criptomonedas. La investigación detectó pagos en USDT de Tether y Ethereum, y el escaparate aceptaba USDT en la red Tron junto a Alipay y WeChat Pay. Cloudflare añadió que los compradores también podían pagar con USDC.

Los kits incluían tácticas evasivas: geofencing, CAPTCHA falsos y configuraciones antidetección. En el caso de Iron Man, Microsoft y Resecurity localizaron más de 2.300 plantillas para adaptar las estafas a distintas marcas y países. Además, Microsoft descubrió que el servicio dependía de un servidor de licencias controlado por el vendedor, lo que permitía interferir con los compradores aunque las copias siguieran circulando.

El desmantelamiento

Microsoft y el grupo de ciberseguridad Health-ISAC obtuvieron una orden judicial en EE. UU. para incautar y redirigir los dominios de Yam Store, CoGUI e Iron Man. Hasta ahora, Microsoft ha desactivado más de 20.000 cuentas vinculadas a Yam Store y sigue bloqueando más de 100.000 dominios usados para suplantación y fraude.

Cloudflare colaboró suspendiendo cuentas, desactivando proyectos Workers que alojaban páginas de phishing y prohibiendo cientos de dominios y proyectos asociados. Donde no se pudieron incautar dominios, colocó páginas de advertencia antes de los enlaces maliciosos. La firma de análisis blockchain TRM Labs ayudó a localizar y congelar activos del grupo, aunque no se reveló el valor.

En la operación también participaron la policía japonesa y su Centro de Control de Ciberdelincuencia, junto a Oracle, Proofpoint, Resecurity y socios estadounidenses de aplicación de la ley. Microsoft sostiene que los proveedores desmantelados forman parte de una red criminal más amplia y que continúa eliminando infraestructura relacionada.