A maioria das pessoas já abriu suas mensagens e encontrou um alerta suspeito dizendo, com urgência, que uma encomenda não pôde ser entregue, que um pedágio continua pendente, que uma conta bancária requer atenção ou que um imposto está atrasado. Os detalhes podem mudar, mas o objetivo é o mesmo: levar alguém a clicar, compartilhar informações pessoais ou pagar.

Essas mensagens são implacáveis. Exclua e bloqueie uma, e outra ocupará seu lugar. Ignore-as, e outras virão. Caia em uma delas, e as comportas se abrem. O que parece ser uma simples mensagem de golpe muitas vezes é a ponta visível de uma operação cibercriminosa transnacional muito maior.

Quando a Microsoft e a National Police Agency (NPA) do Japão acompanharam uma onda de atividades de fraude e golpes direcionada a pessoas e empresas no país, esperavam encontrar campanhas isoladas. Em vez disso, depararam-se com um amplo marketplace de cibercrime em língua chinesa, no qual criminosos podiam comprar contas, serviços de hospedagem e ferramentas usadas para criar sites falsos e identidades online. A investigação ganhou alcance global, envolvendo o Japan Cybercrime Control Center (JC3), a Resecurity, a Cloudflare, a Oracle, a Proofpoint e a TRM Labs para revelar os negócios que sustentavam esse ecossistema criminoso.

Hoje, a Microsoft e a Health-ISAC, uma organização global sem fins lucrativos que ajuda organizações do setor de saúde a compartilhar informações sobre ameaças cibernéticas e a colaborar para melhorar a resiliência operacional, estão agindo para desmantelar três componentes desse marketplace criminoso: YAM Store, CoGUI e Iron Man.

Desde janeiro de 2026, YAM Store, CoGUI e Iron Man possibilitaram, em conjunto, o envio de mais de um bilhão de mensagens maliciosas direcionadas a mais de 75 mil organizações em todo o mundo, incluindo mais de 750 milhões de mensagens voltadas apenas a clientes da Microsoft. Essas mensagens foram usadas para atingir consumidores, organizações de saúde, instituições financeiras e outras empresas em mais de 150 países, gerando dezenas de milhões de dólares para seus operadores.

Rastreando os negócios por trás dos golpes

A investigação começou no fim de 2025, depois que a NPA do Japão alertou a Microsoft sobre campanhas de mensagens maliciosas direcionadas a pessoas no país. A NPA continuou fornecendo inteligência e apoio investigativo enquanto os parceiros rastreavam essas campanhas até os negócios que abasteciam criminosos em todo o mundo.

O rastro levou os investigadores ao interior de um ecossistema de cibercrime em língua chinesa, de difícil acesso para investigadores que não eram falantes nativos. Ali, eles obtiveram acesso ao CoGUI, que fornecia aos criminosos sites e mensagens prontos para uso, que se passavam por empresas, instituições financeiras, órgãos governamentais e outras organizações confiáveis. Em vez de criar os próprios sites fraudulentos, os criminosos podiam implantar rapidamente páginas projetadas para roubar senhas, informações de pagamento e outros dados pessoais.

À medida que a investigação da Microsoft avançava, informações de inteligência do JC3 ajudaram a confirmar a escala da atividade que afetava organizações japonesas e seus clientes. Com base em informações coletadas em sua rede de mais de 130 organizações associadas, o JC3 conectou incidentes que pareciam isolados a um padrão mais amplo de golpes direcionados a empresas e instituições financeiras japonesas, incluindo tentativas de fraudar consumidores e roubar credenciais e outras informações confidenciais.

Um nome que continuava aparecendo ao longo da investigação era a YAM Store, que operava de forma muito semelhante a uma loja online. Os clientes podiam navegar por produtos, comparar preços e comprar contas fraudulentas da Microsoft e do Google, além de outras ferramentas prontas para uso em golpes, incluindo roubo de credenciais. Compras controladas realizadas pela Microsoft ajudaram a confirmar como a operação funcionava.

Em alguns casos, os operadores adquiriam domínios de internet que organizações legítimas haviam deixado expirar, muitas vezes visando determinados setores, como organizações sem fins lucrativos e instituições de ensino, com ofertas de produtos especializadas. Em seguida, reconstruíam os sites para fazer essas organizações parecerem ativas, o que lhes permitia obter de forma fraudulenta contas do Microsoft 365 que posteriormente podiam ser vendidas por meio da YAM Store.

Ferramentas prontas para uso

A YAM Store fornecia infraestrutura criminosa que era frequentemente combinada com ferramentas e serviços como o CoGUI. À medida que aprofundavam a investigação, os investigadores descobriram que o marketplace já estava evoluindo. O CoGUI havia se tornado uma das ofertas mais utilizadas no ecossistema, tendo como principais alvos vítimas no Japão e nos Estados Unidos, mas, desde meados de 2026, vinha sendo cada vez mais substituído por uma oferta mais recente conhecida como Iron Man.

O Iron Man ampliou o modelo ao dar aos criminosos acesso a milhares de padrões prontos para uso, projetados para se passar por organizações confiáveis. Assim, os criminosos podiam implantar rapidamente conteúdos de e-mail, texto e web adaptados a marcas, setores e países específicos.

Por meio de compras de teste e do trabalho com a Resecurity, os investigadores obtiveram acesso ao Iron Man e identificaram mais de 2.300 modelos que se passavam por bancos, varejistas, prestadores de serviços de saúde, autoridades de transporte, departamentos de polícia, órgãos governamentais e outras organizações em mais de 150 países. Alguns foram projetados para golpes de falsificação de identidade de órgãos governamentais, usando a aparência de autoridade oficial para pressionar as vítimas a fazer pagamentos ou divulgar informações pessoais confidenciais. Outros se passavam por organizações de diferentes setores, países e idiomas, de bancos e companhias aéreas a empresas de telecomunicações, varejistas e serviços de entrega de encomendas.

Abaixo estão exemplos desses modelos de falsificação de identidade. É importante destacar que a presença de uma organização ou entidade governamental nesses modelos não indica que seus sistemas tenham sido comprometidos.

Um blog da Microsoft Threat Intelligence (em inglês) apresenta mais detalhes sobre a rede, além de medidas que os clientes podem adotar para se proteger.

Juntando as peças

Nenhuma organização, isoladamente, tinha uma visão completa. A NPA do Japão desempenhou um papel fundamental ao longo de toda a investigação, fornecendo inteligência, apoio investigativo e colaboração que ajudaram a revelar como a operação funcionava. O JC3 ajudou a dimensionar a atividade que afetava organizações e consumidores japoneses. A Health-ISAC forneceu informações sobre os impactos nas organizações de saúde, enquanto Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs contribuíram com inteligência e apoio investigativo.

Trabalhando em conjunto e com o apoio de ferramentas de IA, conectamos contas, sites e infraestruturas que inicialmente pareciam não ter relação entre si, ajudando a expor o marketplace criminoso mais amplo por trás deles. A Microsoft também trabalhou em estreita colaboração e compartilhou informações de inteligência com o U.S. Secret Service e parceiros internacionais de aplicação da lei.

Esta investigação também reflete uma tendência mais ampla destacada no Microsoft Digital Defense Report deste ano: as fraudes modernas dependem cada vez mais de negócios e serviços que facilitam aos criminosos alcançar mais vítimas. Foi necessário um compartilhamento bidirecional de informações entre setores e além das fronteiras internacionais para revelar como esses serviços profundamente interconectados funcionavam em conjunto.

Indo atrás dos fornecedores

Com uma ordem do Tribunal Distrital dos Estados Unidos para o Distrito Sul da Flórida , a Microsoft e a Health-ISAC apreenderam e redirecionaram domínios que faziam parte da infraestrutura subjacente que sustentava YAM Store, CoGUI e Iron Man. A Microsoft já desativou mais de 20 mil contas conectadas à YAM Store e continua desmantelando a operação ao remover a infraestrutura hospedada em seus serviços e bloquear mais de 100 mil domínios usados para falsificação de identidade e fraude.

O que começou com atividades de golpe direcionadas a pessoas e organizações no Japão levou os investigadores a uma economia clandestina de serviços que abastecia criminosos em todo o mundo. YAM Store, CoGUI e Iron Man são apenas parte dessa rede criminosa mais ampla, mas desarticulá-los torna mais difícil para os criminosos obter as contas, ferramentas e infraestruturas das quais dependem. A mensagem de golpe costuma ser a única parte que as vítimas veem. São os negócios por trás dela que a tornam possível.