Microsoft y la Policía de Japón desmantelan una red de ciberestafa que envió 1.000 millones de mensajes fraudulentos desde enero. La operación, coordinada con la Agencia Nacional de Policía nipona, ha cortado la infraestructura de YAM Store, el mercado que alimentaba campañas de phishing contra empresas y usuarios de medio mundo.
Según ha confirmado la compañía de Redmond, la plataforma operaba junto a dos kits de ataque —CoGUI e Iron Man— que, en conjunto, permitieron el envío de más de 1.000 millones de mensajes maliciosos desde principios de 2026. El alcance no es menor: más de 75.000 organizaciones han quedado expuestas, y alrededor de 750 millones de esos mensajes iban dirigidos a objetivos corporativos concretos.
Claves de la operación
- Más de 1.000 millones de mensajes en diez meses. La red funcionaba como servicio: cualquier delincuente podía alquilar CoGUI o Iron Man para lanzar campañas masivas sin apenas conocimientos técnicos.
- 75.000 organizaciones en el punto de mira. No hablamos de un ataque oportunista, sino de una maquinaria industrializada contra empresas, administraciones y particulares.
- Microsoft y la policía nipona asumen el liderazgo. El caso consolida a los grandes proveedores de cloud como actores de facto en la persecución del cibercrimen, un terreno que antes ocupaban solo las policías nacionales.
El modelo que ha caído no es nuevo, pero sí muy rentable. YAM Store funcionaba como un mercado clandestino en el que los ciberdelincuentes compraban plantillas, listas de teléfonos y paneles de control para lanzar mensajes de forma masiva. La barrera de entrada era casi nula. Cobraban por suscripción, por volumen, o por campaña exitosa. No hacía falta saber programar. Solo pagar.
Los dos kits incautados resumen la lógica del sector. CoGUI servía para montar páginas falsas de bancos y paqueterías, mientras Iron Man gestionaba el envío automatizado de SMS y correos a gran escala. Es la versión industrial del fraude: menos artesanos, más plataformas.
El mensaje falso del paquete que nunca llega o la multa de aparcamiento inexistente son solo la punta del iceberg. Detrás hay una cadena que va del kit al proveedor de nube y, finalmente, al receptor. Ahí es donde se ha movido la operación.
Desmantelar un mercado de kits no detiene el fraude, pero encarece el próximo intento. El negocio se muda, no desaparece.
La investigación conjunta tiene una lectura estratégica. Microsoft convierte su unidad de delitos digitales en policía privada del ecosistema de la nube. No es altruismo. Cada campaña de phishing que atraviesa Outlook, Teams o Azure erosiona la confianza de sus clientes corporativos, y esa confianza es facturación futura.
La batalla silenciosa por la seguridad gestionada
El terreno donde se libra esta guerra no es solo técnico. Google Cloud, Amazon Web Services y, en Europa, Telefónica Tech e Indra compiten por el mismo negocio de ciberseguridad gestionada, un segmento que se ha convertido en la puerta de entrada de los proveedores de nube a las grandes cuentas corporativas. Quien desmantela redes criminales se posiciona mejor ante las administraciones, cada vez más exigentes con sus proveedores tecnológicos.
En España, INCIBE gestiona miles de incidentes anuales relacionados con el fraude digital. Las campañas de YAM Store no entienden de fronteras: cualquier kit podía disparar mensajes contra usuarios españoles con textos en castellano y suplantación de entidades locales. Los SMS fraudulentos llegan igual a Madrid que a Tokio.
Aquí conviene la cautela. La operación policial ha cortado una pieza, no la cadena. La experiencia del sector muestra que cuando cae un mercado de kits, los grupos migran hacia nuevas plataformas en cuestión de semanas. El desmantelamiento técnico gana tiempo, no la guerra.
El relato que Microsoft quiere capitalizar
Para la compañía de Redmond, el caso YAM Store también funciona como argumento político. Microsoft lleva años reclamando marcos regulatorios más ágiles para perseguir el cibercrimen sin las rigideces del proceso penal clásico. Cada operación exitosa refuerza su discurso: las plataformas son hoy el primer dique contra el fraude digital.
Eso tiene consecuencias. En Bruselas, la discusión sobre la directiva NIS2 y el futuro Reglamento de Ciberresiliencia coloca a los grandes proveedores en una posición ambigua: se les sospecha de concentrar poder y, al mismo tiempo, se les exige liderar la respuesta. Microsoft se beneficia de presentarse como parte de la solución y no del problema.
Lo que se juega el mercado español de ciberseguridad
La presión sobre España es evidente. Telefónica Tech ha convertido la ciberseguridad en una de sus apuestas más rentables dentro del negocio digital, e Indra pugna por contratos públicos en un contexto de creciente gasto en defensa y digitalización. La caída de YAM Store no mueve sus cotizaciones, pero refuerza la narrativa del sector.
Queda una incógnita de fondo. Si los kits reaparecen en repositorios clandestinos tan pronto como caen, el efecto de una operación así tiene fecha de caducidad. Los resultados de Microsoft del próximo trimestre, donde la compañía desglosa el peso de su división de seguridad, darán una pista sobre si el fraude frena o simplemente cambia de forma.
