Microsoft desmonta la trastienda de un phishing de más de mil millones de mensajes

Qué ha pasado

El 14 de octubre, la unidad de delitos digitales de Microsoft y Health-ISAC anunciaron que habían intervenido tres servicios que alimentaban buena parte del phishing de este año: YAM Store, un mercado en chino que vendía cuentas de Microsoft y Google robadas o creadas con engaños, y dos kits para montar webs falsas, CoGUI e Iron Man. Con una orden de un tribunal federal de Florida se han incautado y redirigido sus dominios.

Las cifras que da Microsoft son de las que conviene leer dos veces: más de mil millones de mensajes maliciosos desde enero, de ellos más de 750 millones dirigidos a sus clientes, y más de 75.000 organizaciones atacadas en más de 150 países. Además, ha desactivado más de 20.000 cuentas ligadas a YAM Store y bloqueado unos 100.000 dominios usados para suplantar y estafar.

El kit Iron Man ofrecía más de 2.300 plantillas que imitaban bancos, tiendas, empresas de reparto y administraciones. Los cebos eran los de siempre: peajes pendientes, multas de tráfico, paquetes retenidos o cuentas por verificar. Para esconderse, las páginas filtraban por país e IP y mostraban falsos CAPTCHA. Según BleepingComputer, los delincuentes también recuperaban dominios caducados de organizaciones reales y alojaban material en SharePoint y OneDrive. La investigación arrancó a finales de 2025 por un aviso de la Policía Nacional de Japón y han colaborado, entre otros, Cloudflare, Oracle, Proofpoint, Resecurity y TRM Labs.

Por qué le importa a tu empresa

Este tipo de kits convierte cualquier marca en materia prima. Si tu empresa tiene web, tienda o área de clientes, alguien puede copiar su aspecto en minutos y usarlo para pedir datos de pago o contraseñas a tus clientes. Y quien paga la factura de reputación eres tú, aunque no hayas hecho nada mal.

Hay otro detalle que me parece muy práctico: lo de reutilizar dominios caducados de organizaciones reales. Ese dominio antiguo que dejaste de renovar tras un cambio de nombre o una campaña puede acabar sirviendo correos y webs falsas que parecen tuyas.

Mi opinión

Me alegra ver acciones así, pero prefiero ser prudente: tumbar dominios corta el suministro durante un tiempo, no devuelve lo ya robado y los operadores suelen reaparecer con otro nombre. Lo que sí deja claro es que el phishing se ha industrializado; hoy se alquila como cualquier otro servicio.

Para una pyme, la defensa no pasa por perseguir a nadie, sino por ponérselo difícil a quien quiera hacerse pasar por ella: un correo bien configurado para que no se pueda falsificar el remitente, dominios bajo control y clientes que sepan por qué canal les vas a pedir algo. Es poco trabajo y evita muchos disgustos. En XEVIA solemos revisarlo junto con la web, porque son dos caras de la misma confianza.

Qué hacer hoy

• Haz inventario de tus dominios, también de los antiguos, y decide cuáles renovar para que nadie los reutilice.
• Comprueba que tu dominio de correo tiene SPF, DKIM y DMARC configurados, y que DMARC no se ha quedado en modo de solo observación.
• Activa el doble factor en Microsoft 365 o Google Workspace para todas las cuentas, empezando por administración y facturación.
• Publica en tu web un aviso sencillo de cómo y por dónde contactas a tus clientes, y qué nunca les vas a pedir.
• Recuerda al equipo que los avisos de peajes, multas o paquetes pendientes son el cebo más habitual de estos kits.