Quando a Microsoft descreve uma operação de phishing como um ecossistema, vale a pena prestar atenção. Em 14 de outubro de 2026, a Digital Crimes Unit da empresa anunciou a desarticulação da YAM Store, um mercado clandestino que ela rastreia como Storm-3119, junto com os três kits de phishing vendidos por meio dele: CoGUI, Haozi e Iron Man System, rastreados em conjunto com seus desenvolvedores como Storm-2990. Desde janeiro de 2026, a Microsoft atribui a atores que usaram essas ferramentas mais de um bilhão de emails e mensagens de texto de phishing, direcionados a mais de 75,000 organizações em mais de 150 países. Só para clientes da Microsoft foram enviados mais de 750 milhões dessas mensagens.
A operação foi conduzida sob uma ordem da Corte Distrital dos Estados Unidos para o Distrito Sul da Flórida. A Microsoft apreendeu e redirecionou os domínios que davam suporte à operação, desativou mais de 20,000 contas ligadas à YAM Store e bloqueou mais de 100,000 domínios usados para usurpação de identidade e fraude. A investigação começou quando a Agência Nacional de Polícia do Japão alertou a Microsoft sobre uma onda de fraudes no final de 2025 e cresceu até incluir o centro de cibercrime japonês JC3, a Health-ISAC, a Resecurity, a Cloudflare, a Oracle, a Proofpoint, a TRM Labs e o Serviço Secreto dos EUA. Nenhuma prisão foi anunciada até agora.
Um mercado de legitimidade roubada
O que separa a YAM Store de um vendedor comum de kits de phishing é o que ela vendia. A Microsoft a descreve como um corretor de acesso inicial que sequestrava tenants de Microsoft 365 e Azure for Education e revendia as contas, licenças e armazenamento roubados como serviço. Seus operadores usavam automação para encontrar ambientes de nuvem expirados e identidades de organizações adormecidas, adquiriam domínios expirados de organizações reais, reconstruíam seus sites para que entidades extintas parecessem ativas e até usavam ferramentas de IA para fabricar organizações novas e convincentes, com conteúdo e documentação.
Dentro dos tenants comprometidos, os operadores usavam credenciais de aplicativo roubadas para manter um acesso duradouro em nível de aplicativo, redefiniam senhas silenciosamente, atribuíam licenças educacionais e convertiam o armazenamento de SharePoint e OneDrive dos tenants sequestrados em hospedagem em massa para conteúdo de phishing. Os clientes pagavam em criptomoedas, incluindo USDT e Ethereum, por canais de venda no Telegram.
Os kits da ponta de baixo eram industriais. O Iron Man System oferecia mais de 2,300 modelos que usurpavam a identidade de bancos, varejistas, serviços de entrega, provedores de saúde e agências governamentais em cerca de 140 países, e deslocou o antigo kit CoGUI até meados de 2026. A análise da Resecurity sobre infraestrutura exposta encontrou um registro acessível publicamente com 911 builds publicadas e um subsistema de captura de cartões que catalogava 2,360 pacotes de phishing em 130 países, com atualizações até 1 de outubro de 2026. Os kits davam suporte a cercas geográficas, filtragem por IP, páginas CAPTCHA falsas que dificultavam a análise de segurança, alertas no Telegram quando uma vítima digitava credenciais e sessões ao vivo para o operador interagir com a vítima em tempo real. Muitas campanhas também usavam phishing de código de dispositivo, enganando usuários para digitar um código curto que entrega tokens de autenticação.
Por que isso importa para o DMARC, nas duas direções
Aqui está a parte que deveria incomodar todo administrador de email. As mensagens enviadas desses tenants sequestrados eram, aos olhos de um provedor de caixa de entrada, autênticas. Um tenant real de Microsoft 365, com histórico, DNS real, SPF, DKIM e DMARC funcionando, envia uma mensagem que passa por todas as verificações em que a indústria confia. O DMARC responde se a mensagem realmente vem do domínio da linha From, e nesse caso vinha. O domínio pertencia a um tenant sequestrado que um criminoso alugava por hora. A própria Microsoft observa que esses ambientes educacionais e sem fins lucrativos tinham alta reputação de remetente justamente por parecerem legítimos.
Isso não é uma falha do DMARC. É um limite da pergunta que o DMARC faz. A autenticação prova o controle de um domínio, não a honestidade do remetente, e os criminosos agora industrializaram a aquisição de domínios que passam pela autenticação de graça. Entrada resistente a phishing, como passkeys, políticas de acesso condicional e monitoramento contra sequestro de tenants continuam sendo as defesas para essa metade do problema.
Mas há uma segunda lição, mais aguda, e ela aponta direto para o seu DNS. A cadeia de suprimentos da YAM Store começava com domínios expirados e identidades de organizações adormecidas que ninguém vigiava. Toda organização tem domínios estacionados, tenants educacionais ou sem fins lucrativos herdados e marcas extintas que ainda resolvem. Se um criminoso reativar um deles, o seu próprio nome se torna a infraestrutura autenticada da campanha de phishing de outra pessoa. Aplicar DMARC com p=reject em todos os domínios que você possui, incluindo os que nunca enviam email, fecha essa porta. E ler seus relatórios agregados é a forma de notar um remetente que não deveria existir, antes de uma coletiva de imprensa nomear você como a parte comprometida.
O que fazer nesta semana
Primeiro, faça um inventário dos seus domínios e tenants de nuvem, incluindo os inativos, e aplique políticas de imposição em todos. Segundo, ative autenticação multifator resistente a phishing e monitore redefinições silenciosas de senha e service principals inesperados no seu tenant. Terceiro, trate solicitações de entrada por código de dispositivo como hostis por padrão, porque esse ecossistema as usou para roubar tokens. E quarto, continue lendo os relatórios, porque Steven Masada, da Microsoft, resumiu com clareza: apague e bloqueie um desses serviços, e outro assume o lugar.
A autenticação não pode dizer se um remetente merece confiança, mas garante que ninguém possa enviar em seu nome sem que você saiba. O Excello Mail transforma seus relatórios de DMARC, SPF e DKIM em uma imagem clara e contínua de todos os serviços que enviam como seus domínios, ativos ou adormecidos, para que você imponha sua política antes que outra pessoa explore o seu nome. Cadastre-se gratuitamente no Excello Mail e garanta que seus domínios nunca caiam em mãos erradas.