Em 14 de outubro de 2026, Microsoft e Health-ISAC anunciaram a apreensão e o redirecionamento de domínios associados à YAM Store, ao CoGUI e ao Iron Man. A Microsoft informou que havia desativado mais de 20 mil contas ligadas à YAM Store e estava bloqueando mais de 100 mil domínios usados em falsificação e fraude.
O que faziam os serviços atingidos
Segundo a Microsoft, a YAM Store vendia contas fraudulentas da Microsoft e do Google, além de ferramentas usadas em golpes. O CoGUI fornecia sites e mensagens prontos para se passar por empresas, instituições financeiras e órgãos públicos. O Iron Man oferecia modelos de páginas de phishing, isto é, páginas falsas usadas para enganar pessoas e obter dados.
A operação anunciada envolveu os domínios ligados aos três serviços. A Microsoft descreveu as contas desativadas como vinculadas à YAM Store e os domínios bloqueados como usados em falsificação e fraude.
Quem aparece no processo civil
O processo civil 1:26-cv-26998-JEM tramita no Tribunal Distrital dos Estados Unidos para o Distrito Sul da Flórida. O aviso do caso identifica Microsoft Corporation e Health-ISAC, Inc. como autoras, e Yang Jian d/b/a Yam Store, Inc. e Does 1–10 como réus.
A Microsoft informou que obteve uma ordem judicial temporária de restrição. O registro de 7 de outubro identifica uma ordem sigilosa; o aviso do caso também descreve as medidas que a empresa pediu. A ação é civil, e os nomes listados como réus são as partes indicadas no processo.
O que os números e as observações técnicas mostram
Em 14 de outubro, a Microsoft estimou que os três serviços haviam viabilizado mais de 1 bilhão de mensagens maliciosas desde janeiro de 2026, dirigidas a mais de 75 mil organizações em mais de 150 países. Mais de 750 milhões dessas mensagens, segundo a empresa, eram voltadas a clientes da Microsoft.
A Resecurity relatou 911 versões de imagem publicadas em um registro associado ao Iron Man e entradas no catálogo até 1º de outubro de 2026. Para sua análise, a empresa comprou uma licença, montou o serviço em um laboratório isolado, capturou tráfego e examinou registros disponíveis. São observações anteriores ao anúncio de 14 de outubro.
A Resecurity também contou 2.360 modelos no catálogo, distribuídos por 130 áreas-alvo. A Microsoft, por sua vez, mencionou mais de 2.300 modelos em mais de 150 países. As duas contagens usam descrições geográficas diferentes: a Resecurity separou áreas-alvo de códigos de país e idioma.
O que um modelo de phishing permite concluir
A presença de uma empresa ou órgão público em um modelo não indica que seus sistemas foram comprometidos, afirmou a Microsoft. O catálogo mostra modelos de falsificação; cada campanha precisa ser considerada no seu próprio contexto. A Microsoft descreveu YAM Store, CoGUI e Iron Man como parte de uma rede criminosa mais ampla.
