Microsoft, junto con socios de ciberseguridad, ha desmantelado una operación de phishing a gran escala que aceptaba pagos en criptomonedas y estaba dirigida a miles de organizaciones en todo el mundo. La acción derribó la infraestructura conectada a YAM Store, CoGUI e Iron Man —tres servicios que proporcionaban a los criminales cuentas fraudulentas y herramientas de phishing listas para usar. Desde enero de 2026, la red ha permitido más de 1.000 millones de mensajes maliciosos en más de 150 países.

Microsoft anunció la operación el 14 de octubre en una publicación oficial en su blog, tras una investigación realizada con Health-ISAC, una comunidad de intercambio de información del sector salud global, y agencias policiales internacionales. La compañía estima que los servicios generaron decenas de millones de dólares para sus operadores. Más de 750 millones de mensajes de phishing se dirigieron específicamente a clientes de Microsoft. La estructura que Microsoft describe —proveedores que venden cuentas, plantillas y herramientas de envío a una amplia base de clientes criminales— refleja el modelo de cibercrimen como servicio que ha reducido la barrera técnica para ejecutar campañas de phishing a escala industrial.

Los pagos en USDT respaldaban las operaciones de cibercrimen

YAM Store funcionaba como un mercado clandestino que vendía cuentas de Microsoft y Google obtenidas fraudulentamente, las cuales los criminales compraban para distribuir mensajes de phishing y hacerse pasar por organizaciones legítimas. El mercado aceptaba múltiples métodos de pago, incluida la stablecoin USDT de Tether en la red Tron. USDT es una stablecoin vinculada al dólar —una criptomoneda diseñada para seguir el valor del dólar estadounidense— y Tron es una de las redes blockchain que alberga sus transferencias.

La investigación de Microsoft también identificó pagos en criptomonedas que involucraban a Ethereum en el ecosistema criminal más amplio. Estas opciones de pago permitieron a los operadores vender infraestructura de phishing a clientes en diferentes jurisdicciones.

CoGUI e Iron Man, por su parte, suministraban sitios web y mensajes listos para usar, diseñados para robar contraseñas e información financiera. Los investigadores descubrieron más de 2.300 plantillas de Iron Man que suplantaban a bancos, minoristas, agencias gubernamentales y proveedores de salud. Los kits de este tipo dirigen a las víctimas a páginas de inicio de sesión y pago falsificadas, donde las credenciales y los datos financieros ingresados pasan directamente a los atacantes.

Microsoft incauta dominios y deshabilita miles de cuentas

Microsoft y Health-ISAC obtuvieron la autorización del Tribunal de Distrito de EE. UU. para el Distrito Sur de Florida para desmantelar la red. Las órdenes judiciales civiles de este tipo son una herramienta recurrente en operaciones de interrupción a gran escala, ya que otorgan a las empresas privadas la legitimidad legal para incautar y redirigir dominios que se encuentran fuera de sus propias redes. Los socios incautaron y redirigieron dominios que daban soporte a los tres servicios, cortando el acceso a su infraestructura.

Microsoft ya ha deshabilitado más de 20.000 cuentas asociadas con YAM Store y continúa bloqueando más de 100.000 dominios fraudulentos utilizados para suplantación y ataques de phishing.

La investigación comenzó después de que las autoridades japonesas identificaran campañas de mensajería sospechosas dirigidas a organizaciones locales a finales de 2025. La cooperación internacional posterior reveló un mercado criminal más amplio al servicio de estafadores de todo el mundo.

Los pagos en criptomonedas evidencian riesgos crecientes de cibercrimen

El caso subraya cómo los pagos en criptomonedas pueden respaldar operaciones comerciales de cibercrimen. Las stablecoins como USDT permiten transferencias transfronterizas convenientes, lo que las hace atractivas tanto empresas legítimas como para mercados criminales. Sin embargo, la investigación no establece que las transacciones en criptomonedas representaran todos los ingresos de la red, y la interrupción se dirigió principalmente a la infraestructura de phishing en lugar de a los sistemas de pago blockchain subyacentes.

La intervención de Microsoft representa un esfuerzo significativo para debilitar los servicios que abastecen el fraude en línea a gran escala. Aun así, la amenaza más amplia persiste, ya que los criminales siguen buscando infraestructura y canales de pago alternativos. Las deshabilitaciones de cuentas y el bloqueo de dominios por parte de Microsoft continúan en curso, por lo que futuras revelaciones de la compañía, Health-ISAC o agencias policiales asociadas podrían ampliar el panorama público del alcance de la red.