Microsoft desmanteló Yam Store tras una investigación de casi un año que reveló una red criminal que industrializó el phishing con kits prearmados y 2.300 plantillas.
Una notificación de la Agencia Nacional de Policía de Japón a finales de 2025 sobre fraudes locales terminó destapando una operación criminal global que vendía phishing como si fuera mercadería de supermercado. Microsoft coordinó con autoridades internacionales y empresas como Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs el desmantelamiento de Yam Store, un marketplace en idioma chino que permitía a criminales sin conocimientos técnicos avanzados comprar kits completos de phishing, comparar precios según antigüedad de cuentas y tipo de dominio, y lanzar campañas masivas en minutos. El resultado: más de 1.000 millones de mensajes maliciosos enviados a más de 75.000 organizaciones en todo el mundo, con más de 750 millones dirigidos específicamente a clientes de Microsoft. Las operaciones generaron decenas de millones de dólares.
De una punta suelta en Japón a una red transnacional con tres kits estrella
Lo que los investigadores esperaban encontrar eran campañas individuales de phishing. Lo que descubrieron fue un ecosistema completo de comercio criminal. Yam Store operaba como intermediario de acceso inicial, vendiendo cuentas fraudulentas de Microsoft y Google obtenidas mediante el registro de dominios que organizaciones legítimas habían dejado expirar. Los operadores reconstruían esos dominios para que parecieran activos y los usaban para registrar cuentas corporativas falsas en sectores específicos como educación o entidades sin fines de lucro, que luego revendían clasificadas por antigüedad y tipo de suscripción.
La investigación identificó tres kits de Phishing-as-a-Service (PhaaS) populares en el marketplace: Iron Man System, CoGUI y Haozi. Iron Man System, lanzado a mediados de 2026, se convirtió en el producto estrella al ofrecer más de 2.300 plantillas de phishing prearmadas que suplantaban organizaciones en más de 150 países. Las plantillas cubrían proveedores de salud, departamentos de policía, agencias gubernamentales, servicios postales, autoridades de transporte, agencias tributarias, bancos, telecomunicaciones y minoristas. Steven Masada, associate general counsel y GM de la Digital Crimes Unit de Microsoft, señaló que muchas plantillas usaban la apariencia de autoridad oficial para presionar a las víctimas a realizar pagos o entregar información personal sensible.
Técnicas de evasión que complican la detección automatizada
Los kits no solo ofrecían plantillas listas para usar: incluían técnicas avanzadas de evasión diseñadas para esquivar sistemas de seguridad corporativos. Entre ellas, geofencing para mostrar contenido diferente según la ubicación de la víctima, páginas falsas de CAPTCHA que simulaban verificaciones de seguridad legítimas, listas de bloqueo y permitir de direcciones IP para evitar análisis de sandboxes de seguridad, y configuraciones anti-detección que dificultaban el rastreo de la infraestructura real detrás de las campañas.
La combinación de plantillas profesionales y evasión técnica redujo drásticamente la barrera de entrada al phishing industrial. Criminales sin habilidades técnicas avanzadas podían desplegar en minutos páginas diseñadas para robar contraseñas, información de pago y datos personales, sin necesidad de crear infraestructura propia ni desarrollar código. El modelo PhaaS efectivamente democratizó el acceso a herramientas que antes requerían conocimientos especializados.
El patrón de urgencia que se repite en casi todos los casos observados
Los investigadores de Microsoft identificaron un denominador común en las campañas desplegadas con estos kits: mensajes que presentaban tareas urgentes y sensibles al tiempo. Las víctimas recibían notificaciones que parecían provenir de servicios conocidos y seguros, solicitando acción inmediata mediante un enlace que llevaba a una página de inicio de sesión falsa. En muchos casos, las páginas de phishing carecían de elementos de autenticación que sí están presentes en interacciones legítimas con servicios como Microsoft Azure, donde desde 2021 los usuarios reciben prompts claros que identifican la aplicación que solicita autenticación y ofrecen opciones explícitas de cancelar o continuar.
La escala del problema se vuelve más clara al considerar que organizaciones en América Latina dependen masivamente de los mismos proveedores de servicios en la nube que fueron el blanco principal de estas campañas. Aunque Microsoft no reportó datos específicos de impacto en la región, la dependencia estructural de Microsoft 365 y Google Workspace en sectores como gobierno, educación y salud en países como México, Brasil, Colombia y Argentina implica que una porción significativa de esos 1.000 millones de mensajes llegó a organizaciones latinoamericanas. El hecho de que las plantillas incluían suplantaciones de agencias tributarias y servicios postales en más de 150 países sugiere que los operadores adaptaban sus campañas a contextos locales, lo que aumenta la probabilidad de que usuarios en la región hayan sido objetivos específicos.
Qué significa que un dominio aparezca en las plantillas del kit
Masada aclaró que la presencia de una organización o entidad gubernamental entre las plantillas ofrecidas en Yam Store no indica que sus sistemas hayan sido comprometidos. Las plantillas suplantaban la apariencia visual y la identidad de organizaciones legítimas, pero no requerían acceso real a la infraestructura de esas entidades. Sin embargo, investigadores de la Microsoft Threat Intelligence y la Digital Crimes Unit advirtieron que la escala y proliferación de este ecosistema demuestran cómo la infraestructura criminal disponible comercialmente reduce la barrera de entrada, permitiendo que criminales con habilidades limitadas ataquen organizaciones a escala y contribuyan a pérdidas por fraude.
Nuestro análisis
El desmantelamiento de Yam Store revela un cambio estructural en el modelo de amenaza del phishing: dejó de ser una actividad artesanal para convertirse en una industria con división del trabajo, especialización de roles y economías de escala. El hecho de que un solo marketplace haya facilitado 1.000 millones de mensajes maliciosos en menos de un año indica que el cuello de botella ya no es la capacidad técnica de los atacantes, sino la efectividad de los controles de autenticación y la educación de usuarios en las organizaciones objetivo. La aparición de Iron Man System a mediados de 2026 con 2.300 plantillas listas para usar marca un punto de inflexión: el phishing ya no requiere conocimientos técnicos, solo presupuesto para comprar acceso.
Lo que todavía no se sabe es cuántos marketplaces similares operan en paralelo y qué porcentaje del volumen total de phishing global proviene de estos ecosistemas comerciales versus operaciones independientes. La investigación de Microsoft dependió de herramientas de inteligencia artificial para conectar cuentas, sitios web e infraestructura que inicialmente parecían no relacionados, lo que sugiere que la visibilidad sobre la magnitud real del problema sigue siendo parcial. Si un solo marketplace pudo generar decenas de millones de dólares vendiendo acceso a infraestructura criminal, ¿cuántos más están operando bajo el radar con modelos de negocio igualmente industrializados?