Microsoft desarticula tres plataformas chinas de phishing con orden judicial

Microsoft, junto con Health-ISAC, una organización sin fines de lucro que reúne al sector salud para compartir información sobre amenazas, desarticuló tres plataformas chinas de suplantación de identidadUso de los datos personales de otra persona para hacerse pasar por ella ante una empresa u organismo, por ejemplo para contratar servicios o hacer compras a su nombre. (phishing) con una orden de un tribunal federal de Estados Unidos. Desde enero, las tres plataformas habilitaron más de mil millones de mensajes maliciosos dirigidos a más de 75.000 organizaciones en el mundo, según anunció la empresa el 14 de octubre.

Las plataformas son YAM Store, CoGUI e Iron Man. Más de 750 millones de los mensajes apuntaron a clientes de Microsoft, y los ataques llegaron a más de 150 países. Los operadores ganaron decenas de millones de dólares, según Microsoft.

Cómo funcionaba la cadena

YAM Store era un mercado que vendía acceso a entornos de Microsoft y Google obtenidos de forma fraudulenta o comprometidos, es decir, cuentas listas para enviar correos creíbles. CoGUI aportaba sitios falsos y mensajes de suplantación para robar contraseñas y datos de pago. Iron Man, que desde mediados de 2026 fue reemplazando a CoGUI, ofrecía más de 2.300 plantillas que imitan bancos, comercios, servicios de salud, organismos de tránsito, policías y gobiernos.

Microsoft explicó que su unidad de delitos digitales (Digital Crimes Unit) evalúa con alta confianza que los desarrolladores hablan chino, aunque no indicó dónde están los operadores. La empresa sigue las plataformas bajo los nombres Storm-3119 (YAM Store) y Storm-2990 (los kits de phishing).

La acción judicial

El Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida autorizó a Microsoft y Health-ISAC a confiscar y redirigir dominios de la infraestructura. Microsoft no precisó cuántos. Además deshabilitó más de 20.000 cuentas vinculadas a YAM Store y bloqueó más de 100.000 dominios de suplantación y fraude. Todavía retira infraestructura alojada en sus propios servicios, informó el medio The Record.

La investigación empezó a fines de 2025, cuando la Policía Nacional de Japón alertó a Microsoft sobre campañas de mensajes fraudulentos contra personas y empresas japonesas. Participaron también el Centro de Control del Cibercrimen de Japón (JC3), el Servicio Secreto de Estados Unidos y las empresas Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs.

Víctimas

Las víctimas incluyen consumidores, hospitales, bancos y otras empresas. Microsoft identificó organizaciones afectadas sobre todo en Japón y Estados Unidos, y también en Australia e India. Ni el anuncio de Microsoft ni The Record mencionan a Latinoamérica como región afectada. El único dato cercano es una plantilla de Iron Man que imita una página brasileña de consulta de multas de tránsito.

Microsoft aclaró que las organizaciones imitadas en las plantillas no sufrieron una vulneración de sus sistemas.

La empresa publicó indicadores técnicos para que los equipos de seguridad revisen inicios de sesión, reglas de bandeja de entrada y permisos concedidos a aplicaciones en la nube.