Introdução ao Desmantelamento da Rede de Golpes Digitais
Uma operação internacional de combate ao cibercrime desmantelou uma infraestrutura global responsável pela circulação de mais de um bilhão de mensagens fraudulentas desde o início deste ano. A rede utilizava e-mails e mensagens de texto SMS para enganar vítimas e invadir sistemas de mais de 75 mil organizações em 150 países, incluindo órgãos públicos, bancos e empresas de saúde. A ação ocorreu após uma ordem expedida pela Justiça dos Estados Unidos, no Distrito Sul da Flórida. A Microsoft e a organização sem fins lucrativos Health-ISAC assumiram o controle e redirecionaram domínios que sustentavam a operação. A big tech desativou mais de 20 mil contas e bloqueou cerca de 100 mil domínios criados para aplicar golpes de personificação de marcas e órgãos governamentais.
Origem do YAM Store e CoGUI
A investigação começou no final de 2025, quando a Agência Nacional de Polícia do Japão alertou a Microsoft sobre um aumento incomum de fraudes digitais no país. Ao buscar a origem dos ataques, os investigadores descobriram um mercado cibercriminoso em idioma chinês conhecido como YAM Store, rastreado tecnicamente como “Storm-3119”. A plataforma funcionava como um centro de suprimentos para criminosos digitais e oferecia acesso a ambientes em nuvem da Microsoft e do Google obtidos de forma fraudulenta. Para criar essas contas falsas com aparência legítima, os operadores do ecossistema compravam domínios de organizações reais que haviam expirado, como entidades sem fins lucrativos ou de educação. Eles recriavam os sites dessas instituições e, com o apoio de ferramentas de inteligência artificial (IA), geravam documentações falsas para reativar os registros. Com esses acessos em mãos, os criminosos comercializavam o espaço para hospedar páginas de golpe e disparar mensagens em massa.
Ferramentas de Phishing CoGUI, Haozi e Iron Man System
Para criar essas páginas falsas, os criminosos usavam conjuntos de ferramentas de phishing conhecidos como CoGUI, Haozi e Iron Man System, agrupados sob o código “Storm-2990”. Esses kits ofereciam aos compradores milhares de modelos prontos que simulavam comunicados oficiais. Entre os pretextos mais comuns estavam notificações de encomendas pendentes, multas de trânsito atrasadas, alertas bancários e verificações de segurança de conta. O modelo Iron Man, que ganhou força no meio do ano, disponibilizava mais de 2.300 modelos de páginas falsas adaptados para 130 países.
Impacto e Intervenção
A Microsoft e a organização sem fins lucrativos Health-ISAC assumiram o controle e redirecionaram domínios que sustentavam a operação. A big tech desativou mais de 20 mil contas e bloqueou cerca de 100 mil domínios criados para aplicar golpes de personificação de marcas e órgãos governamentais. A investigação contou ainda com o apoio do Centro de Controle de Crimes Cibernéticos do Japão e das empresas de tecnologia Cloudflare, Oracle, Proofpoint e TRM Labs. Segundo dados da Proofpoint, apenas no ecossistema vinculado ao kit CoGUI, mais de 17 mil domínios foram identificados no último ano. A estratégia dos criminosos envolvia a troca constante de endereços na internet para burlar os sistemas automatizados de segurança.
Conclusão
A operação internacional desmantelou uma infraestrutura global responsável pela circulação de mais de um bilhão de mensagens fraudulentas. A Microsoft e a organização sem fins lucrativos Health-ISAC assumiram o controle e redirecionaram domínios que sustentavam a operação. A big tech desativou mais de 20 mil contas e bloqueou cerca de 100 mil domínios criados para aplicar golpes de personificação de marcas e órgãos governamentais. A investigação contou ainda com o apoio do Centro de Controle de Crimes Cibernéticos do Japão e das empresas de tecnologia Cloudflare, Oracle, Proofpoint e TRM Labs. Segundo dados da Proofpoint, apenas no ecossistema vinculado ao kit CoGUI, mais de 17 mil domínios foram identificados no último ano. A estratégia dos criminosos envolvia a troca constante de endereços na internet para burlar os sistemas automatizados de segurança. Uma ação coordenada de bloqueio dos servidores de licenciamento e do registro de softwares, combinada com o redirecionamento dos domínios de armazenamento, desestrutura a operação para toda a sua base de compradores simultaneamente.