Microsoft e Health-ISAC anunciaram em 14 de outubro de 2026 que haviam tomado controle e redirecionado domínios associados a YAM Store, CoGUI e Iron Man, três serviços ligados a campanhas de phishing. O cabeçalho do processo registra que uma ordem sigilosa foi lançada em 7 de outubro, pela Corte Distrital dos Estados Unidos para o Distrito Sul da Flórida. A Cybersecurity Dive informou que o juiz acolheu o pedido para assumir o controle dos domínios.
O papel de cada serviço
A Microsoft descreve a YAM Store como um mercado de contas fraudulentas ou comprometidas e de infraestrutura em nuvem. O CoGUI fornecia páginas e mensagens prontas para imitar empresas, instituições financeiras, órgãos públicos e outras organizações confiáveis. Já o Iron Man oferecia modelos de páginas de suplantação.
A Microsoft afirmou que, em meados de 2026, o Iron Man vinha substituindo cada vez mais o CoGUI. Os serviços, portanto, ocupavam funções diferentes dentro da mesma estrutura: contas e infraestrutura, páginas e mensagens de phishing, e modelos para imitar organizações. A descrição da operação e dos serviços foi publicada pela Microsoft.
A investigação começou depois que a Agência Nacional de Polícia do Japão alertou a Microsoft, no fim de 2025, sobre campanhas de mensagens maliciosas contra pessoas no país. Segundo a Microsoft, o Centro de Controle de Crimes Cibernéticos do Japão ajudou a conectar incidentes com informações de uma rede de mais de 130 organizações associadas.
O alcance relatado pela Microsoft
Em 14 de outubro, a Microsoft afirmou que YAM Store, CoGUI e Iron Man haviam viabilizado, juntos, mais de 1 bilhão de mensagens maliciosas desde janeiro de 2026, com alvos em mais de 75 mil organizações e mais de 150 países. A empresa atribuiu mais de 750 milhões dessas mensagens a campanhas voltadas a clientes da Microsoft. São estimativas divulgadas pela própria empresa.
Na mesma ocasião, a Microsoft informou que havia desativado mais de 20 mil contas ligadas à YAM Store e que estava bloqueando mais de 100 mil domínios usados para suplantação e fraude.
O que a presença em um template indica
A Microsoft e a Resecurity identificaram mais de 2.300 templates do Iron Man que imitavam organizações de mais de 150 países. A Microsoft ressalvou que aparecer em um desses modelos não significa que os sistemas da organização tenham sido comprometidos.
