Em comunicado de 14 de outubro de 2026, Microsoft e Japan Cybercrime Control Center (JC3) relatam a apreensão e o redirecionamento de domínios que davam suporte à YAM Store, à CoGUI e à Iron Man System. A Microsoft informa que desativou mais de 20 mil contas associadas à YAM Store e bloqueou mais de 100 mil domínios usados em fraudes e personificações. A empresa diz que a desmontagem da infraestrutura continua. (Microsoft; JC3)
O papel da YAM Store na rede
A Microsoft descreve a YAM Store, rastreada como Storm-3119, como uma corretora de acesso: o serviço revendia ambientes de nuvem, contas, licenças e armazenamento da Microsoft e do Google comprometidos ou obtidos por fraude. Entre os compradores estavam operadores que usavam esses recursos para campanhas de phishing.
A empresa associa os kits CoGUI, Haozi e Iron Man System ao grupo de atividade Storm-2990. CoGUI também é chamado de NX ou FA; Haozi, de Phoenix. Os kits forneciam páginas de imitação e ferramentas de envio de mensagens. A Microsoft atribui à Iron Man System recursos como geolocalização de acessos, telas falsas de CAPTCHA e notificações por Telegram. (Relatório técnico da Microsoft)
O que os números contabilizam
Microsoft e JC3 relatam que, desde janeiro de 2026, os serviços viabilizaram mais de 1 bilhão de mensagens maliciosas direcionadas a mais de 75 mil organizações. Em um recorte próprio, a Microsoft afirma que mais de 750 milhões dessas mensagens eram voltadas a seus clientes. A empresa e a JC3 também dizem que consumidores e organizações foram alvo em mais de 150 países. (Microsoft; JC3)
Uma marca ou órgão aparecer em um modelo de phishing não significa que seus sistemas tenham sido invadidos: a própria Microsoft faz essa distinção. A presença de uma organização numa página falsa aponta para uma tentativa de personificação, não confirma uma violação de seus sistemas.
O que diz o processo civil
O aviso judicial identifica Microsoft Corporation e Health-ISAC, Inc. como autoras da ação e Yang Jian d/b/a Yam Store, Inc. e Does 1–10 como réus. O documento apresenta alegações de fraude, acesso não autorizado a computadores e violações de propriedade intelectual. Também informa que a Microsoft obteve uma ordem temporária de restrição e pede outras medidas judiciais e indenização. (Aviso judicial do caso)
O aviso descreve alegações e pedidos, não uma decisão de responsabilidade. A ordem temporária deu suporte à apreensão e ao redirecionamento de domínios, enquanto a Microsoft descreve a desmontagem como ainda em andamento.
O que a análise da Resecurity acrescenta
A Resecurity relata que comprou uma licença da Iron Man System e executou o kit em um laboratório isolado. Seu catálogo, com registros até 1º de outubro de 2026, tinha 2.360 entradas e abrangia 130 áreas-alvo e 242 códigos de país ou idioma; a empresa também observou 911 versões publicadas. A análise não envolveu sistemas de vítimas em produção nem implantações de compradores em atividade. (Análise técnica da Resecurity)
A Microsoft, por sua vez, relata mais de 2.335 modelos de phishing adaptados a mais de 139 países. Os números descrevem medidas diferentes: a Resecurity apresenta entradas de catálogo e áreas-alvo; a Microsoft, modelos e países. (Relatório técnico da Microsoft)
Medidas recomendadas pela Microsoft
Para reduzir o risco de phishing, a Microsoft recomenda conferir pedidos inesperados por um canal confiável, em vez de seguir links recebidos na mensagem. A empresa também recomenda passkeys e autenticação multifator (MFA), acesso com privilégios mínimos e políticas de Conditional Access, além de proteções de e-mail e rede, como Exchange Online Protection e Defender for Office 365. (Orientações de segurança da Microsoft)
