Microsoft ha conseguido una orden judicial en Florida para incautar y redirigir los dominios de YAM Store, un mercado clandestino que vendía entornos de Microsoft 365 y Google ya comprometidos, y de dos kits de phishing que se alimentaban de él. La operación, anunciada el 14 de octubre por su Unidad de Delitos Digitales, apunta a una infraestructura vinculada a más de 1.000 millones de mensajes maliciosos desde enero y a más de 75.000 organizaciones atacadas.
Lo interesante no es la cifra de mensajes, que siempre es enorme en estos casos. Es que la pieza atacada no es el estafador que te escribe, sino el proveedor que le vende las herramientas.
¿Qué era YAM Store exactamente?
Una tienda. Con escaparate, catálogo, una capa de subrevendedores, notificaciones y contacto con el comprador por Telegram y pasarela de pago mediante Alipay, WeChat Pay y la criptomoneda USDT en su versión TRC20. Lo que vendía, según el análisis técnico de Microsoft Threat Intelligence, eran entornos corporativos de Microsoft 365 y Google obtenidos de forma fraudulenta o directamente comprometidos, incluidos dominios .edu y .org.
Ahí está el truco más llamativo de toda la operación: el grupo reutilizaba nombres de organizaciones caducados o ya usados, localizados de forma automatizada y combinados con información legítima de clientes, para montar con ellos entornos nuevos. El resultado son buzones que parten con una reputación limpia, difíciles de bloquear por los filtros porque proceden de instituciones con historial respetable. Microsoft documenta incluso una organización benéfica ficticia creada con un dominio .org recién registrado.
Microsoft rastrea a dos actores distintos: Storm-3119, detrás del mercado, y Storm-2990, los desarrolladores de los kits. Con alta confianza atribuye el desarrollo de los kits a actores de habla china. Los tres comparten además infraestructura y capacidades, algo que según Microsoft apunta a un origen común, reutilización de código o colaboración estrecha entre ellos.
¿Y los kits de phishing?
Son el otro extremo de la cadena: el software que monta la página falsa. Microsoft nombra tres, CoGUI, Haozi e Iron Man System, este último operativo desde junio de 2026 y en expansión, con más de 2.335 plantillas de suplantación repartidas por más de 139 países.
No son páginas estáticas. Según el análisis de Microsoft, incorporan geolocalización para mostrarse solo en los países objetivo, un CAPTCHA falso para filtrar análisis automáticos, listas de direcciones permitidas y bloqueadas, y un bot de Telegram que avisa al estafador en tiempo real cuando alguien pica. Y lo más incómodo: mantienen una conexión abierta que permite al atacante observar a la víctima en directo y decidir qué pantalla le muestra después, para ir capturando credenciales, datos de tarjeta y códigos de verificación por pasos.
El final del recorrido no siempre es robar la contraseña. Una de las técnicas documentadas consiste en que la víctima se autentique en servicios legítimos y sea el atacante quien se quede con el token de acceso.
¿A quién atacaban?
A todo el mundo, con preferencias claras. Más de 150 países, con Japón y Estados Unidos a la cabeza, y los sectores de sanidad, servicios financieros, distribución mayorista y tecnología como objetivos principales. De los mil millones largos de mensajes, más de 750 millones iban contra clientes de Microsoft.
Los señuelos son los de siempre, y funcionan por aburridos: en Estados Unidos, sobre todo trámites de tráfico, multas y tasas de aparcamiento. Suplantaban marcas de banca, comercio, sanidad, transporte y organismos públicos, incluida la policía. Son las mismas señales que repasamos en nuestra guía sobre cómo detectar un phishing y no caer nunca más.
La investigación no nació en Redmond: arrancó a finales de 2025, cuando la Agencia Nacional de Policía de Japón avisó a Microsoft de campañas contra ciudadanos japoneses. En la operación han colaborado también el centro japonés de control del cibercrimen, Health-ISAC, Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs, el Servicio Secreto estadounidense y otros socios internacionales de las fuerzas del orden.
¿Qué cambia esto de verdad?
Menos de lo que sugiere la palabra «desmantelar». Microsoft habla de interrumpir y de desmantelar componentes de la operación, pero el resultado concreto es más modesto que la palabra: hay dominios incautados y más de 20.000 cuentas desactivadas, y el anuncio no menciona ninguna detención ni imputación. Los operadores, que según la compañía ingresaron decenas de millones de dólares, siguen ahí.
Hay precedente reciente. En noviembre de 2024, la misma unidad incautó 240 webs de otro servicio de kits de phishing. El negocio no desapareció; se reorganizó.
«Lo que parece un simple mensaje de estafa suele ser el extremo visible de una operación cibercriminal transnacional mucho mayor», escribe Steven Masada, director general y abogado general asociado de la Unidad de Delitos Digitales de Microsoft. «Los negocios que hay detrás son lo que la hace posible».
Creo que ahí está lo valioso del caso, y también su límite. Atacar al proveedor en lugar de al estafador es la estrategia correcta: encarece la operación para miles de delincuentes a la vez, en vez de cerrar una campaña concreta. Pero mientras la infraestructura se pueda reconstruir sin consecuencias penales para nadie, cada golpe de este tipo compra meses, no años. Y conviene recordar que Microsoft es juez y parte: los mil millones de mensajes son un problema que vende sus propios productos de seguridad. El dato que de verdad debería preocupar a cualquier organización es otro, y es gratis de asumir: si un atacante puede fabricarse una identidad creíble reutilizando el nombre caducado de una oenegé, la reputación del remitente ha dejado de ser una defensa. Es la misma lógica que ya vimos cuando la IA generativa disparó el cibercrimen en Europa y por la que los modelos de aprendizaje automático han ganado terreno a las reglas fijas en la detección.