Microsoft y la policía de Japón desarticularon una red que envió más de 1.000 millones de mensajes de estafa

Microsoft y la Agencia Nacional de Policía de Japón desarticularon una red de cibercrimen que, desde enero de 2026, facilitó el envío de más de 1.000 millones de mensajes de estafa por correo electrónico y SMS a más de 75.000 organizaciones en más de 150 países, informó la empresa tecnológica.

La operación se apoyó en una orden de la Corte de Distrito de Estados Unidos para el distrito sur de Florida. Con ese respaldo judicial, Microsoft y la organización sin fines de lucro Health-ISAC incautaron y redirigieron los dominios que sostenían la infraestructura criminal.

La compañía ya deshabilitó más de 20.000 cuentas vinculadas a la red y bloqueó más de 100.000 dominios usados para suplantar marcas y cometer fraude. Más de 750 millones de los mensajes maliciosos detectados tenían como blanco a clientes de Microsoft.

Los mensajes replicaban los avisos que millones de personas reciben a diario: una alerta de que un paquete no pudo entregarse, un peaje impago, un problema con la cuenta bancaria o una deuda impositiva pendiente, según describió Microsoft en el comunicado que acompañó el anuncio.

Un mercado clandestino en chino

La investigación arrancó a fines de 2025, cuando la Agencia Nacional de Policía de Japón alertó a Microsoft sobre campañas de mensajes fraudulentos que afectaban a personas y empresas japonesas. Ese dato llevó a los investigadores a un entramado mucho más amplio.

Microsoft identificó un mercado clandestino en idioma chino al que denominó YAM Store, que vendía cuentas robadas o fraudulentas de Microsoft y Google junto con el acceso a servicios de alojamiento. Los compradores podían elegir el tipo de cuenta según su antigüedad o el tipo de organización asociada.

Para confirmar cómo operaba la tienda, los investigadores de Microsoft realizaron compras controladas de cuentas y herramientas, lo que les permitió reconstruir la cadena completa del negocio, desde el robo de las credenciales hasta la reventa a otros delincuentes.

Ese mercado abastecía a otros tres kits de phishing, llamados CoGUI, Haozi e Iron Man, que ofrecían sitios y mensajes listos para usar con apariencia de bancos, organismos de gobierno, empresas de logística y entidades de salud.

Iron Man, el más reciente de los tres, incluye más de 2.300 plantillas que imitan organizaciones de más de 150 países. En conjunto, los tres kits usaron cerca de 17.000 dominios únicos para sus campañas, según un análisis de la empresa de seguridad Proofpoint.

CoGUI fue el kit más usado contra víctimas en Japón y Estados Unidos desde al menos octubre de 2024, con campañas que suplantaron marcas de consumo y financieras como Amazon, Apple y Rakuten. Proofpoint llegó a bloquear más de 100 millones de mensajes mensuales vinculados a ese kit.

El kit empezó a perder terreno frente a Iron Man desde junio de 2026, según el relevamiento de Microsoft. Los operadores cobraban en criptomonedas, entre ellas USDT y Ethereum, para dificultar el rastreo de sus ganancias.

Los compradores de estas herramientas apuntaron, sobre todo, a organizaciones de los sectores de salud, servicios financieros, distribución mayorista y tecnología, con víctimas concentradas en Japón, Estados Unidos, Australia e India.

Una red con alcance global

La empresa de ciberseguridad Resecurity colaboró en el rastreo técnico de los kits, mientras que Cloudflare, Oracle, Proofpoint y la firma de inteligencia sobre criptoactivos TRM Labs aportaron información para sostener la demanda civil contra los operadores.

El Centro Japonés de Control del Cibercrimen, que agrupa a más de 130 organizaciones miembro, ayudó a confirmar la magnitud del fraude contra empresas y consumidores japoneses. La red generó decenas de millones de dólares para sus operadores, según Microsoft.

TRM Labs, especializada en el seguimiento de movimientos con criptomonedas, contribuyó a ubicar el dinero recaudado por los operadores y a sostener los pedidos judiciales para congelar activos vinculados a la operación, de acuerdo con el detalle que publicó esa firma.

Health-ISAC, la organización que nuclea a hospitales y empresas de salud para compartir información sobre amenazas digitales, se sumó como codemandante en la causa civil después de que varios de sus miembros fueran blanco repetido de los kits de phishing.

“Lo que empezó como actividad de estafa dirigida a personas y organizaciones en Japón llevó a los investigadores a una economía de servicios clandestina que abastecía a criminales en todo el mundo”, escribió Steven Masada, gerente general de la Unidad de Delitos Digitales de Microsoft.

Masada agregó que YAM Store, CoGUI e Iron Man son apenas una parte de una red criminal más grande, aunque su desarticulación complica el acceso de los delincuentes a las cuentas, herramientas e infraestructura que necesitan para operar.

“El mensaje de estafa es a menudo la única parte que ven las víctimas. Los negocios detrás son los que lo hacen posible”, escribió el ejecutivo en el comunicado conjunto de Microsoft y Health-ISAC.

Microsoft aclaró que el ecosistema identificado no se limita al abuso de sus propios servicios y que continúa eliminando infraestructura alojada en su plataforma mientras avanza el bloqueo de nuevos dominios fraudulentos.

.