El 14 de octubre de 2026, Microsoft y el Japan Cybercrime Control Center (JC3) comunican la incautación y redirección de dominios que daban servicio a YAM Store, CoGUI e Iron Man. Microsoft añade que deshabilitó más de 20.000 cuentas vinculadas a YAM Store y bloqueó más de 100.000 dominios utilizados para suplantación y fraude; la compañía describe el desmantelamiento de la infraestructura como un proceso en curso. (Microsoft; JC3)

Qué papel tenían YAM Store y los kits

Microsoft describe YAM Store, también conocido como Storm-3119, como un intermediario que vendía acceso a entornos, cuentas, licencias y almacenamiento en la nube comprometidos u obtenidos de forma fraudulenta. A través de ese mercado se ofrecían CoGUI, Haozi e Iron Man System, kits de phishing que Microsoft vincula al grupo Storm-2990. (Informe técnico de Microsoft)

Un kit de phishing proporciona herramientas para crear páginas que imitan servicios legítimos y captar datos de quienes caen en el engaño. Microsoft señala que la presencia de una organización en una de esas plantillas no significa que sus propios sistemas hayan sido comprometidos. (Microsoft)

Qué reflejan las cifras comunicadas

Microsoft y JC3 atribuyen a los servicios más de 1.000 millones de mensajes maliciosos, dirigidos a más de 75.000 organizaciones desde enero de 2026. Por separado, Microsoft cifra en más de 750 millones los mensajes orientados a sus clientes. Esa cantidad es un subconjunto del total comunicado por la compañía, no una cifra adicional. (Microsoft; JC3)

Las cifras de interrupción corresponden a acciones distintas: las cuentas deshabilitadas estaban asociadas a YAM Store, mientras que los dominios bloqueados se utilizaban para suplantación y fraude. La incautación y redirección de dominios que impulsaban los servicios se comunicó como otra medida de la operación. (Microsoft)

Qué recoge la notificación judicial

La notificación del proceso civil identifica como demandantes a Microsoft Corporation y Health-ISAC, Inc., y como demandados a Yang Jian d/b/a Yam Store, Inc. y Does 1–10. El documento expone alegaciones de Microsoft y las medidas que solicita; también indica que obtuvo una orden de restricción temporal. La demanda no constituye por sí misma una resolución judicial sobre esas alegaciones. (Notificación judicial de Microsoft)

Microsoft dice que la orden del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida permitió incautar y redirigir los dominios. La compañía situó esas actuaciones dentro de un desmantelamiento que seguía en curso. (Microsoft; JC3)

Qué examinó Resecurity en su laboratorio

Resecurity compró una licencia de Iron Man System y desplegó el kit en un laboratorio aislado. En su análisis, contó 2.360 entradas de catálogo en 130 áreas objetivo y 242 códigos de país o idioma; la instantánea del catálogo incluía entradas hasta el 1 de octubre de 2026. Resecurity también registró 911 versiones publicadas. (Análisis técnico de Resecurity)

Microsoft publicó una medida distinta: más de 2.335 plantillas adaptadas a más de 139 países. Las dos cifras describen recuentos y categorías geográficas diferentes, por lo que conviene mantenerlas separadas. (Microsoft)

Cómo recomienda protegerse Microsoft

Microsoft aconseja comprobar las solicitudes inesperadas por un canal de confianza, en lugar de seguir el enlace del mensaje. También recomienda reforzar las cuentas con claves de acceso y autenticación multifactor, limitar los permisos al mínimo necesario y aplicar controles como Conditional Access, además de sus protecciones de correo y red. (Microsoft)