Por Canuto  

Microsoft, autoridades japonesas y socios de ciberseguridad interrumpieron parte de un ecosistema de kits de phishing en chino que, desde comienzos de año, habría enviado más de 1.000 millones de mensajes a 75.000 organizaciones.
***

  • Microsoft informó que los mensajes apuntaron a más de 75.000 organizaciones y que más de tres cuartas partes se dirigieron a sus clientes.
  • La operación afectó la infraestructura de YAM Store, CoGUI e Iron Man; Microsoft deshabilitó más de 20.000 cuentas y bloqueó más de 100.000 dominios.
  • Resecurity halló 2.360 plantillas que suplantaban organizaciones de 130 países, mientras los investigadores vincularon los kits con robos de credenciales y fraudes financieros.

Microsoft y sus socios golpean un ecosistema global de kits de phishing

Microsoft anunció que colaboró con autoridades japonesas, Health-ISAC y varias firmas de ciberseguridad para interrumpir parte de una amplia red de herramientas y servicios de ciberdelincuencia en idioma chino. Según la compañía, los kits vinculados con actores que rastrea como Storm-2990 enviaron más de 1.000 millones de correos y mensajes SMS de phishing desde el comienzo del año, en campañas contra más de 75.000 organizaciones de todo el mundo.

Más de tres cuartas partes de esos mensajes maliciosos apuntaron a clientes de Microsoft, de acuerdo con la empresa. La operación no se limitó a retirar páginas aisladas: buscó afectar la infraestructura y las cuentas que daban soporte a herramientas como YAM Store, CoGUI e Iron Man, utilizadas para desplegar campañas de suplantación y fraude.

Una red de herramientas detrás de los mensajes fraudulentos

Microsoft y las autoridades japonesas comenzaron a investigar la red a principios de 2025, después de detectar actividad de estafa dirigida a personas y organizaciones en Japón. La pesquisa condujo a un ecosistema interconectado de servicios y recursos que, según la compañía, abastecía a delincuentes que operaban a escala internacional.

Los kits ofrecían plantillas preparadas para imitar marcas legítimas, lo que permitía a sus compradores lanzar campañas de gran volumen sin construir desde cero cada página engañosa. Microsoft señaló que los investigadores observaron infraestructura similar y actividad superpuesta, indicios que podrían apuntar a un origen común de desarrollo, reutilización de código o estrecha colaboración entre los desarrolladores.

Los ataques se concentraron principalmente en organizaciones e individuos de Estados Unidos y Japón, con víctimas en los sectores de salud, servicios financieros, logística y tecnología de la información. Esa variedad refleja el alcance de las herramientas: una misma infraestructura podía adaptar sus señuelos a empresas, instituciones y usuarios de distintos ámbitos, según los investigadores.

Las tácticas descritas incluían mensajes sobre paquetes que no podían entregarse, pagos de peajes pendientes, cuentas bancarias que requerían atención o facturas de impuestos vencidas. Steven Masada, asesor general y gerente general de la Unidad de Crímenes Digitales de Microsoft, explicó que el contenido cambia, pero el objetivo permanece: inducir a la víctima a hacer clic, entregar información personal o pagar.

Incautaciones y bloqueos para cortar la infraestructura

Microsoft indicó que, junto con Health-ISAC y mediante una orden judicial federal, incautó y redirigió dominios que alimentaban la infraestructura asociada con YAM Store, CoGUI e Iron Man. La acción buscó interrumpir los recursos que permitían operar a esos servicios, en lugar de limitarse a advertir a los usuarios sobre mensajes sospechosos.

La compañía también deshabilitó más de 20.000 cuentas vinculadas a YAM Store y afirmó que continúa retirando infraestructura alojada en sus propios servicios. Además, bloqueó más de 100.000 dominios utilizados para suplantación de identidad y fraude, una cifra que da cuenta de la escala del trabajo de contención descrito por Microsoft.

La empresa advirtió que el carácter cambiante de estas campañas dificulta que un bloqueo aislado ponga fin a la actividad. Masada describió un ciclo en el que, cuando se elimina o bloquea un mensaje, aparece otro, y sostuvo que la estafa visible para la víctima suele ser apenas la fachada de una operación transnacional más extensa.

Microsoft presentó la interrupción de estos servicios como un golpe a los recursos que los delincuentes necesitan para conseguir cuentas, herramientas e infraestructura. Sin embargo, la compañía también dejó claro que YAM Store, CoGUI e Iron Man representan solo una parte de una red criminal más amplia, por lo que las medidas anunciadas no equivalen a la desaparición de todas las operaciones de phishing relacionadas.

Robo de credenciales y fraude financiero

Según Microsoft, los kits permitían robar credenciales y datos financieros mediante páginas que imitaban servicios y marcas legítimas. Los investigadores también señalaron el abuso del proceso de autenticación por código de dispositivo, una técnica que los atacantes empleaban para obtener tokens de autenticación y acceder a cuentas comprometidas.

El acceso a una cuenta podía abrir la puerta a acciones posteriores, más allá del robo inicial de una contraseña. La información proporcionada por Microsoft vincula estas herramientas principalmente con fraudes financieros: los delincuentes utilizaban datos de pago robados para realizar compras fraudulentas de productos de gama alta o transacciones en plataformas financieras legítimas.

La investigación contó con la participación de Resecurity, que obtuvo acceso a la infraestructura de Iron Man. La firma encontró 2.360 plantillas de phishing que suplantaban a bancos, minoristas, proveedores de atención médica, autoridades de transporte, departamentos de policía y agencias gubernamentales de 130 países.

Ese hallazgo muestra la amplitud de los señuelos disponibles dentro de la plataforma, aunque no significa que cada plantilla se utilizara en una campaña ni que todas las organizaciones suplantadas fueran víctimas de un ataque exitoso. La distinción importa porque las plantillas documentan capacidades y objetivos potenciales, mientras que el balance de mensajes y organizaciones afectadas comunicado por Microsoft mide la escala de la actividad observada.

Cooperación internacional y límites de la operación

Además de Microsoft, las autoridades japonesas y Health-ISAC, la investigación recibió aportes de Cloudflare, Oracle, Proofpoint y TRM Labs. Resecurity también colaboró en el análisis de Iron Man, mientras que Microsoft describió el trabajo conjunto como una respuesta a una economía clandestina que prestaba servicios a delincuentes de distintos lugares.

El punto de partida de la pesquisa fueron estafas dirigidas a personas y organizaciones en Japón, pero el análisis llevó a los investigadores a una red con alcance global. Esa conexión entre incidentes locales y servicios compartidos ayuda a explicar por qué una campaña que parece individual puede depender de proveedores de herramientas e infraestructura que atienden a muchos actores.

Para las organizaciones, el caso evidencia que los mensajes diseñados para parecer avisos rutinarios pueden formar parte de operaciones más complejas, con capacidad para capturar credenciales o información de pago. Microsoft puso el foco en la persistencia de los señuelos y en la necesidad de interrumpir también los servicios que hacen posible su distribución, no solo en bloquear cada correo o SMS por separado.

La operación deja una advertencia y un límite: deshabilitar cuentas, incautar dominios y bloquear infraestructura eleva el costo de operar para los delincuentes, pero la propia compañía reconoce que estas acciones afectan solo un segmento del ecosistema. Por ahora, Microsoft afirma que mantiene las labores de retirada y bloqueo, mientras los investigadores sostienen que las herramientas y los servicios detrás de los mensajes son una pieza central del fraude.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados