Microsoft y el grupo de inteligencia de amenazas del sector sanitario Health-ISAC han obtenido una orden judicial en Estados Unidos para incautar y redirigir dominios vinculados a tres operaciones de phishing como servicio conocidas como YAM Store, CoGUI e Iron Man. Se acusa a estas redes de haber enviado más de mil millones de mensajes maliciosos y de haber atacado a más de 75.000 organizaciones en más de 150 países, con pagos por su infraestructura criminal aceptados en criptomonedas junto a métodos tradicionales.
Para una audiencia europea cada vez más dependiente de los canales de pago digitales y los servicios en la nube, el caso ilustra cómo las stablecoins se han convertido en una herramienta de liquidación habitual en los mercados del cibercrimen, y no solo en un activo especulativo.
Cómo operaban las redes
YAM Store vendía cuentas de Microsoft y Google obtenidas de forma ilícita junto con servicios de alojamiento e infraestructura en la nube, apoyándose en una red de revendedores para ampliar la distribución. Algunos operadores del servicio utilizaban dominios caducados pertenecientes a instituciones educativas y organizaciones sin ánimo de lucro para adquirir y revender cuentas de Microsoft 365. CoGUI e Iron Man, por su parte, construían páginas y mensajes que suplantaban a bancos, comercios, autoridades de transporte y organismos gubernamentales. Microsoft y la firma de seguridad Resecurity identificaron más de 2.300 plantillas asociadas solo a Iron Man.
Microsoft deshabilitó más de 20.000 cuentas vinculadas a YAM Store como parte de la actuación y afirmó que sigue bloqueando más de 100.000 dominios utilizados para suplantación de identidad y fraude en sus plataformas.
Las criptomonedas, el método de pago preferido
Según la investigación, YAM Store aceptaba USDT a través de la red de Tron, además de Alipay y WeChat Pay. Cloudflare señaló que los compradores de infraestructura criminal relacionada también podían pagar con USDC, la stablecoin emitida por Circle, mientras que el propio análisis de Microsoft identificó ether entre los activos aceptados por las redes. La información divulgada no precisa qué proporción de las transacciones se liquidó en cada activo.
La firma de inteligencia blockchain TRM Labs declaró que colaboró con los investigadores para localizar y congelar activos vinculados al grupo, aunque no reveló el valor de los fondos congelados.
Origen de la investigación
La pesquisa comenzó después de que la Agencia Nacional de Policía de Japón alertara a Microsoft sobre estafas dirigidas a consumidores y empresas. Los investigadores rastrearon posteriormente parte de la actividad hasta un mercado en lengua china que facilitaba la compra de recursos utilizados en campañas fraudulentas.
Cloudflare, que participó en parte de la respuesta técnica, señaló que algunos registradores de dominios utilizados por los operadores tienen sede en jurisdicciones donde las órdenes judiciales de incautación son difíciles de hacer cumplir, un factor que ha complicado esfuerzos similares de desmantelamiento en el pasado.
