Microsoft desarticula ecossistema de phishing como serviço

A Microsoft anunciou em 14 de outubro de 2026 a desarticulação de um ecossistema de phishing como serviço operado por atores de língua chinesa. A ação envolveu a equipe de inteligência de ameaças e a Unidade de Crimes Digitais (DCU) da empresa, em conjunto com autoridades policiais e parceiros do setor, entre eles a Resecurity.

A escala declarada ajuda a entender a relevância: desde janeiro de 2026, os operadores desses kits teriam viabilizado mais de 1 bilhão de mensagens de phishing, por e-mail e SMS, contra mais de 75 mil organizações em todo o mundo.

O que o relatório descreve não é um grupo que envia mensagens fraudulentas, e sim uma cadeia de fornecimento completa: quem desenvolve os kits, quem vende o acesso a ambientes corporativos legítimos e quem compra os dois para operar a fraude. Entender essa divisão de trabalho muda a forma de defender.

Dois atores, papéis distintos

A Microsoft separa a operação em dois agrupamentos:

• Storm-2990 — os desenvolvedores. Mantêm três kits de phishing como serviço: CoGUI (também chamado NX ou FA), Haozi (ou Phoenix) e Iron Man System. A empresa avalia com alta confiança que foram construídos por atores de língua chinesa, e aponta que a semelhança de recursos e infraestrutura sugere origem comum, reaproveitamento de código ou colaboração estreita.
• Storm-3119 — o YAM Store, mercado clandestino que funciona também como corretor de acesso inicial. Vende entrada em ambientes Microsoft 365 e Google comprometidos ou criados de forma fraudulenta, com preferência por organizações de ensino (domínios .edu) e entidades sem fins lucrativos (.org).

Na linha do tempo, CoGUI e Haozi passaram a ser vendidos pelo YAM Store no início de 2026, e o Iron Man System entrou no catálogo em junho de 2026.

Como funciona o mercado de acesso

A Microsoft descreve a operação do YAM Store em cinco etapas, e a sequência é instrutiva porque mostra como um ambiente corporativo legítimo vira infraestrutura criminosa:

1. Reconhecimento. Ferramentas automatizadas construídas em Flask e executadas sobre a rede Tor localizam e perfilam ambientes em nuvem.
2. Tomada de controle. Painéis administrativos controlados pelos operadores usam credenciais de aplicação roubadas para redefinir senhas silenciosamente, atribuir licenças e definir atributos privilegiados.
3. Abuso de armazenamento. Obtido o papel de Administrador Global, o operador provisiona para si um service principal com permissões amplas no Graph e passa a usar SharePoint e OneDrive para hospedagem em massa.
4. Suporte ao phishing. Uma plataforma de gestão de DNS, integrada à Cloudflare, controla domínios, certificados e roteamento das campanhas.
5. Revenda. Uma vitrine automatizada revende contas, licenças e armazenamento, com camada de sub-revendedores. O pagamento é feito por Alipay, WeChat Pay e USDT na rede TRC20, com notificação de pedidos pelo Telegram.

Há ainda um detalhe que merece atenção de quem avalia fornecedores: o YAM Store também cria organizações e sites falsos, provavelmente com conteúdo gerado por IA e documentos forjados, para que os ambientes pareçam legítimos. O relatório cita como exemplo uma entidade sem fins lucrativos inteiramente fabricada, vendida junto com um domínio .org registrado poucos meses antes.

O que os kits de phishing entregam

Os três kits seguem o modelo de assinatura: o cliente acessa um servidor de licenças e o domínio do kit vem fixo no código. O conjunto de recursos explica por que esse mercado cresce:

• Evasão de análise — bloqueio por geografia, listas de permissão e bloqueio por IP, portões falsos de verificação humana e ajustes antidetecção, tudo para que pesquisadores e sistemas automatizados vejam uma página inofensiva.
• Operação ao vivo — um canal WebSocket entrega em tempo real o que a vítima digita, e o operador acompanha pelo Telegram, podendo decidir o que a vítima vê em seguida. É o que permite capturar códigos de verificação dentro da janela de validade.
• Coleta ampla — credenciais, dados de cartão e códigos de autenticação.
• Volume de modelos — só o Iron Man System traz mais de 2.335 modelos de página, cobrindo mais de 139 países. Os Estados Unidos concentram o maior número, com iscas predominantemente de transporte e serviços públicos.

Os painéis estão hospedados majoritariamente em provedores da China, e o Iron Man System é construído sobre o GoFrame, arcabouço em Go. As iscas exploram urgência — pedágio não pago, multa de trânsito — e são localizadas por país. Entre os setores atingidos aparecem saúde, serviços financeiros, distribuição atacadista e TI, com destaque para Japão, Estados Unidos, Austrália e Índia.

O padrão não é novo por aqui: já cobrimos o Mirage2FA, kit que usa HTML smuggling para sequestrar contas Microsoft 365, e o mercado no Telegram que industrializou o desbloqueio de iPhones roubados. O que muda aqui é a integração: desenvolvimento, hospedagem legítima e revenda num mesmo circuito.

Por que a captura de código de verificação importa

Vale explicar o ponto técnico que sustenta boa parte dessas campanhas. Em uma autenticação multifator baseada em código — por SMS, e-mail ou aplicativo gerador —, o usuário digita um número de validade curta. Se a página falsa opera em tempo real, ela repassa esse código ao operador, que o utiliza imediatamente no site verdadeiro.

A consequência prática é direta: MFA por código não resiste a esse tipo de ataque. Já os métodos resistentes a phishing — passkeys e chaves FIDO2 — vinculam a credencial ao domínio real, e por isso simplesmente não funcionam em um site falso, por mais fiel que seja a cópia. É a diferença entre ter MFA e ter MFA que resolve esse problema.

O relatório também menciona o device code phishing, técnica em que o atacante induz a vítima a autorizar um código de dispositivo e obtém com isso um token de autenticação válido.

Impactos, limitações e o que fica em aberto

A desarticulação atingiu, segundo a Microsoft, os principais desenvolvedores e a infraestrutura do ecossistema. Convém, porém, calibrar a expectativa: ações desse tipo costumam interromper a operação sem eliminar os operadores, e o código dos kits tende a reaparecer sob outro nome. O relatório não informa prisões, não detalha o alcance jurídico da ação nem quantifica quanto da infraestrutura saiu do ar.

Outro ponto a observar é que os números de escala — 1 bilhão de mensagens, 75 mil organizações — vêm da telemetria da própria Microsoft, com a abrangência e os limites que isso implica. São ordens de grandeza úteis, não medições independentes.

Do lado favorável, há um ganho concreto e duradouro para quem defende: a descrição detalhada do fluxo de tomada de ambientes em nuvem transforma o relatório em roteiro de auditoria. Cada etapa descrita corresponde a um controle verificável hoje.

Recomendações práticas

1. Adote autenticação resistente a phishing — passkeys ou FIDO2 — pelo menos para contas privilegiadas, via políticas de acesso condicional. Com operação ao vivo, código de verificação não protege.
2. Audite os service principals e aplicações do seu locatário, em especial os que detêm permissões amplas no Graph. A autoatribuição de permissões é etapa central do ataque.
3. Limite e monitore o papel de Administrador Global. Aplique privilégio mínimo e alerte sobre cada nova atribuição.
4. Restrinja o registro de MFA e passkeys a locais e dispositivos confiáveis, para evitar que o atacante cadastre o próprio fator.
5. Vigie hospedagem anômala em SharePoint e OneDrive, sobretudo criação em massa de arquivos e compartilhamento externo amplo.
6. Revise as configurações recomendadas de proteção de e-mail e ative verificação de links também para destinatários internos — a mensagem pode vir de um ambiente legítimo comprometido.
7. Oriente as equipes a confirmar pedidos urgentes por canal conhecido, nunca pelo link recebido. As iscas de pedágio e multa funcionam justamente pela pressa.
8. Trate domínios .org e .edu recém-registrados com ceticismo em processos de cadastro de fornecedores e parceiros, dado que a fabricação de entidades falsas faz parte do modelo.

Conclusão

O retrato mais útil desse relatório não é o volume de mensagens, e sim a estrutura: o phishing atual é vendido como produto, com assinatura, suporte, catálogo de modelos por país e hospedagem em ambientes corporativos legítimos comprados no varejo. Isso derruba duas hipóteses defensivas comuns — a de que remetente em domínio confiável indica legitimidade, e a de que ter MFA basta.

Para as organizações, as duas frentes de maior retorno são autenticação resistente a phishing e governança do próprio locatário em nuvem, porque é exatamente aí que o modelo de negócio do atacante se apoia. O que vale acompanhar nos próximos meses é se os kits ressurgem com outro nome e se a camada de revenda — a parte mais difícil de reconstruir — volta a operar.

Fontes e referências

• Microsoft Security Blog — The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime
• Microsoft — Microsoft Threat Intelligence e Digital Crimes Unit
• Resecurity — Parceiro de pesquisa citado no relatório