A operação anunciada em 14 de outubro de 2026 revela que a Microsoft conseguiu derrubar uma estrutura global responsável por mais de um bilhão de mensagens de phishing enviadas desde o início do ano. Dentre os alvos, 750 milhões foram direcionados exclusivamente a clientes da empresa, impactando mais de 75 mil organizações em mais de 150 nações, com Estados Unidos e Japão entre os mais afetados.
Escala e alvos da campanha
Os ataques utilizavam tanto e-mail quanto SMS para criar um senso de urgência – por exemplo, avisos de entrega falhada, cobrança de pedágio ou alerta de pagamento de imposto – e encaminhavam a vítima a sites falsos de grandes marcas ou órgãos governamentais. Entre as falsificações, estavam páginas da Amazon e do Departamento de Estradas de Rodagem do Estado de São Paulo (DER-SP). O objetivo final era roubar credenciais, códigos de autenticação de dois fatores e informações de pagamento para compras fraudulentas de alto valor.
Como funcionava o marketplace criminoso
Três serviços chineses – YAM StoreCoGUI e Iron Man – forneciam kits completos de phishing contendo sites já configurados e mensagens prontas. Em vez de criar seus próprios domínios fraudulentos, os criminosos adquiriam rapidamente páginas projetadas para capturar senhas, dados de cartão e tokens de autenticação. As transações eram pagas com criptomoedas como USDT e Ethereum, adicionando uma camada extra de anonimato.
Essas plataformas operavam em chinês, o que dificultava a investigação por equipes que não dominavam o idioma. O NPA do Japão alertou a Microsoft
Desmantelamento e resultados
Com apoio de uma ordem do Tribunal Distrital dos Estados Unidos para o Distrito Sul da Flórida, a Microsoft e a Health-ISAC assumiram o controle de domínios críticos, desativaram mais de 20 mil contas ligadas à YAM Store e bloquearam cerca de 100 mil domínios usados para falsificação de identidade. A operação contou ainda com a cooperação do U.S. Secret Service e de agências de segurança de diversos países, permitindo conectar contas, sites e infraestruturas anteriormente isolados.
Embora o valor total perdido pelas vítimas não tenha sido divulgado e nenhuma criptomoeda tenha sido apreendida, a desmontagem desses três componentes impactou diretamente a capacidade dos cibercriminosos de adquirir kits prontos, hospedagem e identidade falsa. A ação demonstra como o sharing de inteligência entre setores público e privado se tornou essencial para enfrentar ameaças que dependem de serviços comerciais legítimos para escalar fraudes globais.
