Cuando Microsoft describe una operación de phishing como un ecosistema, conviene prestar atención. El 14 de octubre de 2026, la Digital Crimes Unit de la compañía anunció el desmantelamiento de YAM Store, un mercado clandestino que rastrea como Storm-3119, junto con los tres kits de phishing que se vendían a través de él: CoGUI, Haozi e Iron Man System, rastreados en conjunto con sus desarrolladores como Storm-2990. Desde enero de 2026, Microsoft atribuye a actores que usaban estas herramientas más de mil millones de correos y mensajes de texto de phishing, dirigidos a más de 75,000 organizaciones en más de 150 países. Solo hacia clientes de Microsoft se enviaron más de 750 millones de esos mensajes.
La operación se llevó a cabo bajo una orden de la Corte de Distrito de los Estados Unidos para el Distrito Sur de Florida. Microsoft incautó y redirigió los dominios que daban soporte a la operación, desactivó más de 20,000 cuentas vinculadas a YAM Store y bloqueó más de 100,000 dominios usados para suplantación y fraude. La investigación comenzó cuando la Agencia Nacional de Policía de Japón alertó a Microsoft sobre una ola de fraude a finales de 2025, y creció hasta incluir al centro de cibercrimen japonés JC3, a Health-ISAC, Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs y el Servicio Secreto de Estados Unidos. Hasta ahora no se han anunciado detenciones.
Un mercado de legitimidad robada
Lo que distingue a YAM Store de un vendedor de kits de phishing corriente es lo que vendía. Microsoft lo describe como un intermediario de acceso inicial que secuestraba tenants de Microsoft 365 y Azure for Education y revendía las cuentas, licencias y almacenamiento robados como servicio. Sus operadores usaban automatización para encontrar entornos cloud caducados e identidades de organizaciones dormidas, adquirían dominios expirados de organizaciones reales, reconstruían sus sitios web para que entidades difuntas parecieran activas e incluso usaban herramientas de IA para fabricar organizaciones nuevas y convincentes, con contenido y documentación.
Dentro de los tenants comprometidos, los operadores usaban credenciales de aplicación robadas para mantener un acceso duradero a nivel de aplicación, restablecían contraseñas de forma silenciosa, asignaban licencias educativas y convertían el almacenamiento de SharePoint y OneDrive de los tenants secuestrados en alojamiento masivo para contenido de phishing. Los clientes pagaban en criptomonedas, incluidos USDT y Ethereum, a través de canales de venta en Telegram.
Los kits de nivel inferior eran industriales. Iron Man System ofrecía más de 2,300 plantillas que suplantaban a bancos, comercios, servicios de mensajería, proveedores de salud y agencias gubernamentales en unos 140 países, y desplazó al antiguo kit CoGUI hacia mediados de 2026. El análisis de Resecurity sobre infraestructura expuesta encontró un registro de acceso público con 911 builds publicadas y un subsistema de captura de tarjetas de pago que catalogaba 2,360 paquetes de phishing en 130 países, con actualizaciones hasta el 1 de octubre de 2026. Los kits admitían geocercas, filtrado por IP, páginas CAPTCHA falsas que dificultaban el análisis de seguridad, alertas por Telegram cuando una víctima introducía credenciales y sesiones en vivo para interactuar con la víctima en tiempo real. Muchas campañas también usaban phishing de código de dispositivo, engañando a los usuarios para que introdujeran un código corto que entrega tokens de autenticación.
Por qué esto importa para DMARC, en ambas direcciones
Aquí está la parte que debería inquietar a cualquier administrador de correo. Los mensajes enviados desde estos tenants secuestrados eran, a ojos de un proveedor de buzones, auténticos. Un tenant real de Microsoft 365, con historial, DNS real, SPF, DKIM y DMARC funcionando, envía un mensaje que supera todas las verificaciones en las que confía la industria. DMARC responde si el mensaje proviene realmente del dominio de la línea From, y en este caso así era. El dominio pertenecía a un tenant secuestrado que un criminal alquilaba por horas. La propia Microsoft señala que estos entornos educativos y sin fines de lucro tenían una reputación de remisor alta precisamente porque parecían legítimos.
Eso no es un fallo de DMARC. Es un límite de la pregunta que DMARC formula. La autenticación demuestra el control de un dominio, no la honestidad del remisor, y los criminales han industrializado la adquisición de dominios que superan la autenticación sin esfuerzo. El inicio de sesión resistente al phishing, como las passkeys, las políticas de acceso condicional y la vigilancia frente al secuestro de tenants siguen siendo las defensas para esa mitad del problema.
Pero hay una segunda lección, más incisiva, y apunta directo a tu DNS. La cadena de suministro de YAM Store empezaba con dominios expirados e identidades de organizaciones dormidas que nadie vigilaba. Toda organización tiene dominios aparcados, tenants educativos o sin fines de lucro heredados y marcas difuntas que siguen resolviendo. Si un criminal reactiva uno de ellos, tu propio nombre se convierte en la infraestructura autenticada de la campaña de phishing de otra persona. Aplicar DMARC con p=reject en todos los dominios que posees, incluidos los que nunca envían correo, cierra esa puerta. Y leer tus informes agregados es la forma de detectar un remisor que no debería existir, antes de que una rueda de prensa te nombre como la parte comprometida.
Qué hacer esta semana
Primero, inventaría tus dominios y tenants cloud, incluidos los inactivos, y aplica políticas de cumplimiento en todos. Segundo, activa la autenticación multifactor resistente al phishing y vigila los restablecimientos silenciosos de contraseñas y los service principals inesperados en tu tenant. Tercero, trata las solicitudes de inicio de sesión por código de dispositivo como hostiles por defecto, porque este ecosistema las usó para robar tokens. Y cuarto, sigue leyendo los informes, porque Steven Masada de Microsoft lo resumió con claridad: elimina y bloquea uno de estos servicios, y otro ocupa su lugar.
La autenticación no puede decirte si un remisor merece confianza, pero garantiza que nadie pueda enviar en tu nombre sin que lo sepas. Excello Mail convierte tus informes de DMARC, SPF y DKIM en una imagen clara y continua de todos los servicios que envían como tus dominios, activos o dormidos, para que apliques tu política antes de que alguien más explote tu nombre. Regístrate gratis en Excello Mail y asegúrate de que tus dominios nunca caigan en manos equivocadas.