Microsoft y la organización de ciberseguridad del sector salud Health-ISAC anunciaron el 14 de octubre que tumbaron tres herramientas usadas por criminales para hacer phishing (mensajes falsos para robar contraseñas y datos de pago): los kits CoGUI e Iron Man y el mercado clandestino YAM Store. Participaron también Proofpoint, Cloudflare, Oracle, Resecurity, TRM Labs y el centro japonés contra el cibercrimen (JC3), según The Hacker News y Proofpoint.
Las cifras
Según Health-ISAC y Microsoft, desde enero de 2026 estas herramientas permitieron:
| Dato | Cifra |
|---|---|
| Correos y SMS falsos enviados | Más de 1,000 millones |
| Organizaciones atacadas | Más de 75,000 |
| Países alcanzados | Más de 150 |
| Dominios usados por los tres kits | Cerca de 17,000 (Proofpoint) |
Fuentes: Health-ISAC, Proofpoint y The Hacker News.
Health-ISAC describe los engaños de siempre: un paquete que no se pudo entregar, una caseta sin pagar, una cuenta bancaria que “requiere atención” o un adeudo de impuestos. El objetivo: que hagas clic y escribas tu contraseña o tu tarjeta.
Cómo operaban
- Phishing por suscripción: los criminales “rentaban” los kits con plantillas que imitaban a bancos, paqueterías, gobiernos y tiendas; Resecurity contó más de 2,300 plantillas para unos 130 países, según The Hacker News.
- Cuentas de Microsoft 365 secuestradas: YAM Store tomaba el control de cuentas empresariales de Microsoft 365, incluidas de organizaciones vencidas o abandonadas, y usaba su SharePoint y OneDrive para alojar las páginas falsas, según el blog de seguridad de Microsoft.
- Microsoft y Health-ISAC presentaron una demanda en una corte federal de Florida y tomaron los dominios de las operaciones, de acuerdo con Proofpoint.
Ojo: desmantelar estos kits no acaba con el phishing. Los criminales cambian de dominio constantemente: Proofpoint vio 3,788 dominios nuevos en solo dos meses y medio.
¿Qué significa para México?
Los mensajes de “tu paquete está detenido” o “tienes un adeudo con el SAT” también llegan a México todos los días, y una sola contraseña robada puede abrir el correo de toda tu empresa. Microsoft recomienda empezar por la identidad:
- Activa la verificación en dos pasos (MFA) o las llaves de acceso (passkeys) en todas las cuentas de correo de tu negocio.
- Revisa quién tiene permisos de administrador global en tu Microsoft 365 o Google Workspace y quítalos a quien no los necesite.
- Si cerraste una empresa o dejaste de usar un dominio, da de baja las cuentas en lugar de abandonarlas.
- Enseña a tu equipo a no dar clic en ligas de SMS o correos que urgen a pagar; entren directo a la página oficial.
¿Quieres asegurar el correo y las cuentas de tu empresa? En IOSoluciones lo configuramos por ti: Soporte Técnico, Planes o Contacto.
¿Necesitas ayuda para revisar o actualizar los equipos de tu negocio? En IOSoluciones te apoyamos con Soporte Técnico y Mantenimiento. Contáctanos.
Fuentes: Microsoft Security Blog, Health-ISAC, Proofpoint y The Hacker News (14/10/2026), consultadas el 15/10/2026.