Microsoft tumba una fábrica de phishing
El phishing ya no lo monta un delincuente en su casa: se alquila como un servicio, con plantillas, dominios y herramientas incluidas. Microsoft acaba de tumbar una de estas «fábricas», responsable de más de mil millones de mensajes desde enero. Es una buena noticia, y también una pista de lo que llega a tu bandeja.
Qué está pasando
El 14 de octubre de 2026 la unidad de delitos digitales de Microsoft explicó en su blog oficial cómo, con una orden judicial en Estados Unidos y la colaboración de la policía japonesa y varias empresas de seguridad, ha desmantelado tres piezas de un mismo negocio criminal:
- YAM Store, una tienda que vendía cuentas fraudulentas de Microsoft y Google y herramientas para robar credenciales.
- CoGUI, que ofrecía webs de phishing listas para usar que imitan a organizaciones de confianza.
- Iron Man, con más de 2.300 plantillas de correos, SMS y webs falsas para más de 150 países: bancos, tiendas, mensajerías, aerolíneas, telecos y administraciones públicas.
Las cifras: más de mil millones de mensajes maliciosos desde enero, más de 750 millones dirigidos a clientes de Microsoft, más de 75.000 organizaciones atacadas, más de 20.000 cuentas deshabilitadas y más de 100.000 dominios bloqueados.
Por qué te afecta (pyme / asociación)
- El phishing «de catálogo» es barato y está muy logrado. Con plantillas profesionales, el correo falso de tu banco o de la mensajería ya no tiene faltas de ortografía ni logos pixelados.
- Tu Microsoft 365 es el premio. Buena parte de esos mensajes buscaba credenciales de Microsoft, a veces con técnicas que se saltan el doble factor, como el phishing de código de dispositivo.
- Cae una fábrica, abre otra. Estas operaciones frenan el volumen un tiempo, pero el modelo de negocio sigue ahí. Las defensas de tu organización no pueden depender de que la policía llegue antes.
Qué hacer
- Doble factor resistente al phishing (passkeys, llaves FIDO2 o Microsoft Authenticator con coincidencia de número) en todas las cuentas, empezando por dirección y administración.
- Acceso condicional en Microsoft 365: bloquea inicios de sesión desde países donde no trabajas y el flujo de código de dispositivo si nadie lo necesita.
- Activa la protección avanzada del correo (vínculos y adjuntos seguros, antisuplantación) y deja los avisos de inicio de sesión de riesgo con alguien mirándolos.
- Usa un gestor de contraseñas: no rellena la contraseña en una web falsa, aunque se parezca mucho a la real. Es una alarma silenciosa muy eficaz.
- Forma con ejemplos actuales: SMS de paquetes, avisos del banco o de la Administración. La regla: no se entra desde el enlace; se va a la web o la app de siempre.
- Ten un canal para avisar. Que reportar un correo raro sea fácil y rápido, y que nadie tenga miedo de decir «he picado».
¿Cuánto phishing de catálogo pasa hoy por tu correo? En ITCM Solutions revisamos tu Microsoft 365 y dejamos las defensas bien puestas. Hablemos.