✨︎ Resumen (TL;DR):
- Microsoft y Health-ISAC anunciaron una intervención contra YAM Store, CoGUI e Iron Man.
- Según Microsoft, los tres servicios facilitaron más de 1,000 millones de correos y SMS maliciosos dirigidos a más de 75,000 organizaciones desde enero de 2026.
- Microsoft desactivó más de 20,000 cuentas vinculadas a YAM Store y continúa bloqueando más de 100,000 dominios usados para suplantación y fraude.
Microsoft y Health-ISAC anunciaron el 14 de octubre de 2026 una intervención contra YAM Store, CoGUI e Iron Man, tres servicios vinculados con campañas masivas de phishing. Según Microsoft, los servicios facilitaron más de 1,000 millones de correos y SMS maliciosos dirigidos a más de 75,000 organizaciones desde enero de 2026. La acción busca dificultar el acceso a las cuentas, herramientas y dominios que sostienen esas campañas.
Cómo funcionaban los tres servicios
El phishing es una modalidad de fraude que usa mensajes y páginas que imitan a entidades conocidas para obtener contraseñas y datos de pago. El informe técnico de Microsoft describe este reparto de funciones:
- YAM Store: intermediario que suministraba cuentas y entornos de Microsoft y Google obtenidos mediante fraude o accesos no autorizados.
- CoGUI e Iron Man: servicios que aportaban páginas y plantillas que imitaban a entidades conocidas para obtener contraseñas y datos de pago.
Esta relación ayuda a explicar la escala. Quienes lanzaban las campañas podían recurrir a infraestructura y herramientas ya preparadas. Microsoft atribuye el desarrollo de los kits a operadores de habla china. Los señuelos se adaptaban a marcas, idiomas y países.
Cuentas, dominios y una orden judicial
El Centro Japonés de Control de Delitos Cibernéticos (JC3) confirmó la incautación de infraestructura mediante una orden del Tribunal de Distrito de Estados Unidos para el Distrito Sur de Florida. Microsoft y Health-ISAC redirigieron los dominios de los servicios.
Microsoft también desactivó más de 20,000 cuentas vinculadas a YAM Store. La compañía continúa retirando infraestructura y bloqueando más de 100,000 dominios usados para suplantación y fraude.
El aviso judicial publicado por Microsoft sitúa la intervención en una demanda civil presentada junto con Health-ISAC. El documento describe una orden de restricción temporal y una solicitud de medida cautelar preliminar para transferir el control de los dominios o desactivarlos, además de preservar sus materiales mientras se resuelve el caso. Microsoft solicita también una sentencia final y una orden permanente.
La cooperación japonesa y el alcance de los datos
JC3 explicó que colaboró con la Agencia Nacional de Policía de Japón y con las empresas miembro de JC3 para aportar a Microsoft información sobre las campañas y su impacto en Japón. Health-ISAC es una organización sin fines de lucro que facilita el intercambio de información sobre amenazas en el sector sanitario.
Las más de 75,000 organizaciones corresponden a objetivos de los mensajes en el recuento de Microsoft. Esa cifra mide el alcance de las campañas, no un balance de intrusiones exitosas. La compañía también advierte que la presencia de una entidad en las plantillas de suplantación no implica que sus sistemas hayan sido comprometidos.
Microsoft reconoce que los tres servicios forman parte de una red más amplia y presenta la intervención como una forma de dificultar el acceso a las cuentas y herramientas que sostienen esas estafas. La medida afecta a proveedores compartidos por distintas campañas, no a una lista confirmada de intrusiones exitosas.
