SandIA (Buenos Aires, 15 de octubre de 2026).- Microsoft, junto a Health-ISAC, el Japan Cybercrime Control Center (JC3) y una coalición de empresas privadas, anunció la interrupción de tres kits de phishing utilizados para enviar más de mil millones de mensajes fraudulentos desde enero de 2026.
Los kits desmantelados y su alcance
Según publicó The Hacker News, las herramientas identificadas como CoGUI (también conocida como NX o FA), Haozi (o Phoenix) y Iron Man System facilitaron el envío de más de mil millones de correos y mensajes SMS de phishing a más de 75.000 organizaciones en todo el mundo. La operación, autorizada por un tribunal, fue el resultado de una investigación que Microsoft inició a fines de 2025 tras recibir alertas sobre campañas maliciosas dirigidas a usuarios en Japón.
YAM Store, el mercado clandestino detrás de las campañas
De acuerdo con Microsoft, el ecosistema criminal de habla china funciona como una red interconectada de operadores de kits, desarrolladores y un mercado ilícito de acceso inicial denominado YAM Store, que comercializa herramientas e infraestructura obtenida de entornos comprometidos o fraudulentos de Microsoft o Google. La compañía rastrea el mercado como Storm-3119 y a los desarrolladores de los tres kits como Storm-2990. Las evidencias indican que los kits comparten capacidades e infraestructura, lo que sugiere orígenes de desarrollo comunes o colaboración entre sus creadores.
Víctimas y sectores afectados
Health-ISAC señaló que los mensajes se usaron para atacar a consumidores, organizaciones de salud, instituciones financieras y otras empresas en más de 150 países, generando decenas de millones de dólares para sus operadores. Los actores compraban los kits junto con acceso a entornos en la nube de Microsoft o Google para targeting en sectores de salud, servicios financieros, distribución mayorista y tecnología en Japón, Estados Unidos, Australia e India.
Detalles técnicos y respuesta de las autoridades
Según Proofpoint, CoGUI se usó desde octubre de 2024 para suplantar marcas como Amazon, PayPay, MyJCB, Apple, Orico y Rakuten. TRM Labs indicó que para mediados de 2026 Iron Man System reemplazó cada vez más a CoGUI. Resecurity compró una licencia y desplegó el kit en un laboratorio aislado: encontró más de 2.360 paquetes de señuelos que suplantan marcas postales, fiscales, bancarias, de telecomunicaciones y de programas de fidelidad en 130 países. Además, halló un servidor Git y de registro de contenedores con 911 builds del panel de administración entre octubre de 2025 y junio de 2026. Steven Masada, abogado asociado y gerente general de la Unidad de Delitos Digitales de Microsoft, declaró: "Lo que comenzó con actividad de estafa dirigida a personas y organizaciones en Japón llevó a los investigadores a una economía de servicios subterránea que abastece a criminales de todo el mundo".