Microsoft y Health-ISAC anunciaron el 14 de octubre que habían incautado y redirigido dominios vinculados a YAM Store, CoGUI e Iron Man, tres servicios que Microsoft relaciona con una red internacional de phishing. La operación se apoyó en una orden del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida, según el anuncio de Microsoft.
El expediente judicial registra la entrada de una orden sellada el 7 de octubre de 2026. Eric Geller, de Cybersecurity Dive, informó de que el juez concedió la petición para tomar el control de los dominios; el documento del expediente recoge la fecha de entrada de la orden y la información de Geller detalla la decisión judicial.
Cómo empezó la investigación
Microsoft dijo que la investigación comenzó después de que la Agencia Nacional de Policía de Japón le alertara, a finales de 2025, de campañas de mensajes maliciosos dirigidas a personas en Japón. El Japan Cybercrime Control Center (JC3) ayudó a relacionar incidentes y evaluar sus efectos en organizaciones y consumidores japoneses con información de una red de más de 130 organizaciones miembro.
Qué hacía cada servicio
Microsoft describió YAM Store como un mercado de cuentas y entornos de nube obtenidos de forma fraudulenta, además de infraestructura utilizada en campañas criminales. CoGUI ofrecía sitios web y mensajes preparados para suplantar a empresas, entidades financieras, organismos públicos y otras organizaciones. Iron Man proporcionaba plantillas para esas campañas.
Microsoft dijo que, a mediados de 2026, Iron Man iba sustituyendo cada vez más a CoGUI. La empresa y Resecurity identificaron más de 2.300 plantillas de Iron Man que suplantaban a organizaciones de más de 150 países.
El alcance que comunicó Microsoft
Microsoft atribuyó a los tres servicios más de 1.000 millones de mensajes maliciosos desde enero de 2026, dirigidos a más de 75.000 organizaciones en más de 150 países. De ese total, más de 750 millones de mensajes estaban dirigidos a clientes de Microsoft.
En su anuncio del 14 de octubre, Microsoft también dijo que había deshabilitado más de 20.000 cuentas vinculadas a YAM Store y que seguía bloqueando más de 100.000 dominios utilizados para suplantación y fraude.
Microsoft aclaró que la presencia de una organización en una plantilla de Iron Man no indica que sus sistemas fueran comprometidos.
