Proofpoint, empresa especializada en ciberseguridad centrada en las personas y los agentes, ha colaborado con Microsoft y otros socios públicos y privados en una operación destinada a frenar las actividades de destacados ciberdelincuentes vinculados al ecosistema del phishing y el fraude de habla china. La actuación ha afectado a algunas de las amenazas de mayor volumen detectadas por la compañía.
La intervención se ha dirigido, entre otros objetivos, contra la infraestructura utilizada por los kits de phishing CoGUI, CoAceV y CoFish_Ws, así como contra los atacantes y servicios relacionados con YAM Store e Iron Man. Estas herramientas permiten suplantar a empresas reconocidas para obtener credenciales de acceso y datos de pago de sus víctimas.
Según los datos de Microsoft, desde enero de 2026, YAM Store, CoGUI e Iron Man han contribuido al envío de más de 1.000 millones de mensajes maliciosos dirigidos a más de 75.000 organizaciones de todo el mundo, con un impacto especialmente significativo en Japón. Entre las empresas afectadas se encuentran Amazon, PayPay, MyJCB, Apple, Orico, Rakuten, SMBC, Saison Card, Aeon Card, UC Card, Matsui Securities, DHL y Yamato Transport.
Los investigadores de Proofpoint advierten de que el acceso ilícito a cuentas puede provocar importantes consecuencias para las organizaciones, tanto por las pérdidas económicas como por el deterioro de su reputación. En este sentido, subrayan que CoGUI y las herramientas asociadas figuran entre las amenazas más relevantes por su elevada actividad y el volumen de ataques que generan.
La operación ha contado con la participación de Proofpoint, Microsoft, Japan Cybercrime Control Center (JC3), Resecurity, Cloudflare, Oracle y TRM Labs. Además, Microsoft y Health-ISAC, esta última como codemandante, presentaron una demanda contra los responsables de YAM Store y otras personas presuntamente relacionadas con estas actividades. La actuación judicial permitió incautar y redirigir dominios empleados para facilitar los fraudes vinculados a YAM Store, CoGUI e Iron Man.
La contribución de Proofpoint se ha centrado en aportar información obtenida mediante sus sistemas de detección de amenazas. Entre los datos facilitados figuran dominios maliciosos y detalles de campañas relacionadas con CoGUI, CoAceV y CoFish_Ws, además de una declaración de apoyo a la demanda.
Un ecosistema de phishing con capacidad para operar a gran escala
Los especialistas destacan la capacidad de estos grupos para adquirir, administrar y renovar infraestructuras maliciosas de forma masiva. Sus campañas utilizan mensajes fraudulentos con diferentes reclamos, relacionados principalmente con operaciones bancarias y financieras, tarjetas de crédito, cuentas de pago, compras por internet y servicios de transporte.
Los correos incluyen enlaces que, tras superar mecanismos de filtrado como las verificaciones captcha, dirigen a las víctimas a páginas web falsas que reproducen la apariencia de los portales legítimos de acceso o pago de las compañías suplantadas.
Asimismo, los investigadores han detectado similitudes entre los tres kits en los patrones y las rutas de sus direcciones URL. Estos elementos respaldan la evaluación de Proofpoint de que las herramientas forman parte de un mismo ecosistema de actividad delictiva.
Desde la compañía destacan que su objetivo es proporcionar una protección avanzada centrada en las personas y combatir las amenazas más sofisticadas. Proofpoint también señala que, cuando resulta posible y apropiado, pone sus conocimientos y capacidades al servicio de iniciativas destinadas a proteger a un público más amplio frente a campañas generalizadas de malware y phishing.
La empresa subraya, además, que su capacidad para identificar campañas de distribución masiva de correos maliciosos permite proporcionar a las autoridades información relevante para investigar operaciones que afectan a un gran número de personas y organizaciones en todo el mundo.
