Microsoft desactiva YAM Store, mercado de kits de phishing
Con Health-ISAC, la empresa actuó contra tres kits que, según ella, facilitaron más de mil millones de mensajes en 2026; reconoce que es solo una parte.
El 14 de octubre de 2026 Microsoft informó que desactivó una parte de la red de phishing en idioma chino, es decir, de mensajes que suplantan a una empresa para robar contraseñas. El golpe alcanzó a YAM Store, un mercado clandestino, y a tres kits que sirven para armar páginas falsas de inicio de sesión. Según Microsoft, esos kits facilitaron más de mil millones de correos y mensajes de texto fraudulentos desde enero de 2026, dirigidos a más de 75 000 organizaciones.
La Unidad de Delitos Digitales de la empresa trabajó con Health-ISAC, organización que reúne y comparte datos sobre amenazas al sector salud, la Policía Nacional de Japón y la firma Resecurity. Help Net Security informa que un juez federal del Distrito Sur de Florida permitió confiscar o redirigir los dominios de YAM Store y los de CoGUI e Iron Man, dos de los tres kits. La policía japonesa había alertado a Microsoft a finales de 2025. Por su parte, Microsoft afirma haber desactivado más de 20 000 cuentas ligadas a YAM Store, y mantiene bloqueados más de 100 000 dominios con los que se suplantaba a otras empresas.
YAM Store, que Microsoft rastrea como Storm-3119, vende acceso a entornos de nube de Microsoft y Google comprometidos o fraudulentos. Los kits los desarrolla otro grupo, Storm-2990:
- CoGUI, también llamado NX o FA.
- Haozi, también llamado Phoenix.
- Iron Man System, anunciado en YAM Store desde junio de 2026, con más de 2335 plantillas dirigidas a más de 139 países, con Estados Unidos a la cabeza.
Las víctimas están en salud, servicios financieros, distribución mayorista y tecnologías de la información, sobre todo en Japón y Estados Unidos, y también en Australia e India. Según Microsoft, los kits incluyen filtros geográficos y CAPTCHA falsos, y avisan por Telegram cuando alguien cae para seguirlo en directo. El cobro iba en criptomonedas, Alipay y WeChat Pay. Sobre los estafadores, la empresa sostiene que los negocios que los abastecen son lo que permite el fraude. Quien compra un kit así no necesita saber programar las páginas falsas.
Para quien recibe estos mensajes, nada cambia de inmediato: el phishing no desaparece por este golpe. Microsoft recomienda confirmar una petición urgente con quien supuestamente la envía, por un canal que ya se conozca y nunca mediante el enlace recibido. También sugiere llaves de acceso (passkeys) y autenticación en varios pasos, y a las empresas les pide un método resistente al phishing en las cuentas con privilegios. Todo eso lo dice el fabricante, no un tercero.
La propia empresa admite que lo desactivado es apenas un tramo del ecosistema y que continúa la investigación. Las fuentes consultadas no mencionan arrestos, cargos ni operadores identificados, ni estimaciones de pérdidas. Las cifras de mensajes y organizaciones son de la empresa y no tienen verificación independiente. Tampoco hay datos de víctimas en México.
