Microsoft incauta YAM Store, el mayorista del phishing

Microsoft consiguió una orden judicial en el Distrito Sur de Florida para incautar y redirigir los dominios de YAM Store, un mercado clandestino que vendía entornos de Microsoft 365 y Google ya comprometidos, junto a tres kits de phishing que se alimentaban de él. La operación, anunciada el 14 de octubre por su Unidad de Delitos Digitales, apunta a una infraestructura vinculada a más de 1.000 millones de mensajes maliciosos desde enero y a más de 75.000 organizaciones atacadas.

Para un founder, el detalle relevante no es el volumen de mensajes, que en estas operaciones siempre es enorme. Es que el objetivo del golpe no fue el estafador que escribe a tus empleados, sino el proveedor que le vende las herramientas. Y la técnica central de ese proveedor —fabricar identidades corporativas creíbles reciclando dominios caducados— desarma sin ruido uno de los controles en los que casi toda startup confía: la reputación del remitente.

¿Qué es YAM Store y qué vendía exactamente?

YAM Store operaba como una tienda al uso: escaparate, catálogo, capa de subrevendedores, notificaciones de pedido y comunicación con el comprador por Telegram, y cobro a través de Alipay, WeChat Pay y la criptomoneda USDT en su red TRC20. Microsoft rastrea al mercado como Storm-3119 y describe su inventario como entornos corporativos de Microsoft 365 y Google obtenidos de forma fraudulenta o directamente comprometidos, incluidos dominios .edu y .org.

El truco más incómodo está en cómo se fabricaban esas cuentas. El grupo localizaba de forma automatizada nombres de organizaciones caducados o ya usados y los combinaba con información legítima de clientes para montar entornos nuevos. El resultado: buzones que nacen con reputación limpia porque proceden de instituciones con historial respetable. Microsoft documenta incluso una organización benéfica ficticia creada con un dominio .org recién registrado.

Según Help Net Security, los investigadores de Microsoft hicieron compras de prueba para confirmar cómo funcionaba el negocio, y comprobaron que el grupo convertía almacenamiento comprometido de SharePoint y OneDrive en servicios de hosting para sus compradores. SecurityWeek detalla además que el catálogo se podía filtrar por antigüedad de la cuenta, tipo de suscripción y tipo de entorno, incluidas cuentas educativas y sin ánimo de lucro.

¿Cómo funcionan los kits de phishing que alimentaba?

Microsoft agrupa a los desarrolladores bajo el nombre Storm-2990 y nombra tres kits: CoGUI (también conocida como NX o FA), Haozi (Phoenix) e Iron Man System. Este último entró al catálogo en junio de 2026 y es el que más creció: más de 2.335 plantillas de suplantación repartidas por más de 139 países. Según Infosecurity Magazine, los tres se usaron sobre todo contra organizaciones de Japón, Estados Unidos, Australia e India, en salud, servicios financieros, distribución mayorista y tecnología.

Resecurity compró una licencia de Iron Man y la ejecutó en un laboratorio aislado: contó 2.360 plantillas para 130 países y áreas, la última añadida el 1 de octubre, según SecurityWeek. Ese mismo análisis encontró un punto débil: el panel necesita contacto regular con el servidor de licencias del proveedor para funcionar, una dependencia que favorece a los defensores, porque tumbar ese host degrada todas las instalaciones activas y no solo la que se está investigando.

No son páginas estáticas. Los kits incorporan geolocalización para mostrarse solo en los países objetivo, un CAPTCHA falso para filtrar análisis automáticos, listas de direcciones permitidas y bloqueadas, y un bot de Telegram que avisa al estafador en tiempo real. El atacante puede mantener la conexión abierta, observar a la víctima en directo y decidir qué pantalla le muestra después. Y no siempre busca la contraseña: una de las técnicas documentadas consiste en que la víctima se autentique en servicios legítimos y sea el atacante quien se quede con el token de acceso.

¿A quién atacaba esta red?

Más de 150 países, con Japón y Estados Unidos a la cabeza, y los sectores de sanidad, servicios financieros, distribución mayorista y tecnología como objetivos principales. De esos más de 1.000 millones de mensajes, más de 750 millones apuntaron a clientes de Microsoft.

Los señuelos son aburridos y por eso funcionan: en Estados Unidos, sobre todo trámites de tráfico, multas y tasas de aparcamiento, con suplantación de marcas de banca, comercio, sanidad, transporte y organismos públicos, incluida la policía.

La investigación no nació en Redmond. Arrancó a finales de 2025, cuando la Agencia Nacional de Policía de Japón avisó a Microsoft de campañas contra ciudadanos japoneses. En el caso colaboraron el centro japonés de control del cibercrimen, Health-ISAC —que se sumó a la demanda civil por los ataques a hospitales, según SecurityWeek—, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs, el Servicio Secreto estadounidense y otros socios internacionales.

¿Tumbar al proveedor termina con el phishing?

Menos de lo que sugiere la palabra «desmantelar». El resultado concreto es más modesto: dominios incautados y más de 20.000 cuentas desactivadas, sin ninguna detención ni imputación anunciada. Los operadores, que según Microsoft ingresaron decenas de millones de dólares, siguen ahí, y la compañía bloquea más de 100.000 dominios usados para suplantación y fraude.

Hay precedente. En noviembre de 2024, la misma unidad incautó 240 webs de otro servicio de kits de phishing. El negocio no desapareció: se reorganizó.

«Lo que parece un simple mensaje de estafa suele ser el extremo visible de una operación cibercriminal transnacional mucho mayor», escribe Steven Masada, director general y abogado general asociado de la Unidad de Delitos Digitales de Microsoft. «Los negocios que hay detrás son lo que la hace posible».

Atacar al proveedor en lugar de al estafador es la estrategia correcta, porque encarece la operación para miles de delincuentes a la vez. Pero mientras la infraestructura se pueda reconstruir sin consecuencias penales para nadie, cada golpe compra meses, no años. Y conviene recordar que Microsoft es juez y parte: los 1.000 millones de mensajes son un problema que también venden sus propios productos de seguridad.

El ecosistema tampoco se está quieto. ReliaQuest documentó un aumento del 1.380% en actividad de phishing entre finales de 2025 y principios de 2026, impulsado por plataformas de phishing como servicio que abaratan el ataque, según TechRepublic. Entre los kits que analizó hay uno, Jalisco, que genera códigos de dispositivo OAuth nuevos en tiempo real para esquivar la ventana de expiración de 15 minutos que Microsoft usa como salvaguarda.

¿Qué significa esto para tu startup?

El dato que debería preocupar a cualquier organización es gratis de asumir: si un atacante puede fabricarse una identidad creíble reutilizando el nombre caducado de una oenegé, la reputación del remitente dejó de ser una defensa. Tu filtro de spam no va a detener un correo que llega desde un dominio .org con historial limpio y una plantilla bien localizada en tu idioma.

De ahí salen tres acciones concretas:

• Audita tus dominios y los de tus proveedores. Revisa qué dominios parecidos a tu marca están libres, renueva los que ya no uses y controla los vencimientos: un dominio caducado con tu nombre es material gratuito para este tipo de mercado. Lo mismo aplica a dominios de proveedores o campañas antiguas que ya nadie vigila.
• Cierra el flujo de autenticación por código de dispositivo. ReliaQuest recomienda, según TechRepublic, bloquearlo vía políticas de Acceso Condicional de Entra ID cuando no sea imprescindible, restringir las concesiones de autorización de dispositivos OAuth, auditar los registros de aplicaciones innecesarias y bajar el límite por defecto de dispositivos registrados por usuario de 50 a uno o dos.
• Prepara la respuesta antes de necesitarla. Microsoft recomienda priorizar MFA resistente al phishing, limitar los recursos sensibles a dispositivos gestionados y desactivar la autenticación por código de dispositivo cuando no se usa, según BleepingComputer. Añade a tu runbook la revocación de sesiones y tokens activos y la revisión de los métodos de MFA registrados: en estos ataques, el robo del token sobrevive a un simple cambio de contraseña.

Conclusión

El caso YAM Store deja una conclusión útil y otra incómoda. La útil: perseguir al proveedor es más eficiente que perseguir a cada estafador, y esa misma lógica debería guiar tus defensas, protegiendo la cadena y no el eslabón. La incómoda: mientras el negocio siga siendo rentable y sin riesgo penal, cada operación de este tipo compra meses de calma, no una solución.

Si tienes un equipo pequeño y poco presupuesto, empieza por lo barato y lo que más duele: revisa hoy mismo los dominios vinculados a tu marca, desactiva el código de dispositivo si nadie lo usa y confirma que tus cuentas críticas no tienen métodos de MFA débiles como respaldo. Son tareas de una tarde y cubren exactamente lo que este mercado vendía.

Fuentes

• WWWhat's New (fuente original)
• SecurityWeek
• Help Net Security
• Infosecurity Magazine
• TechRepublic
• BleepingComputer