Operação global da Microsoft e polícia japonesa derruba rede responsável por 1 bilhão de mensagens de phishing

A escala dessa operação mostra o quão industrializado o cibercrime de phishing já se tornou: não se trata de um grupo isolado enviando e-mails falsos, mas de um ecossistema de serviços especializados. O YAM Store (rastreado como Storm-3119) funcionava como um marketplace que vendia ambientes Microsoft e Google já comprometidos, contas, licenças e armazenamento — ou seja, um atacante não precisava nem comprometer uma conta do zero, podia simplesmente comprá-la pronta. Em paralelo, o grupo Storm-2990 operava kits de phishing como serviço, incluindo o Iron Man, que por si só continha mais de 2.300 templates prontos imitando bancos, varejistas e agências governamentais de diferentes países.

Um detalhe técnico que chama atenção é o uso de domínios expirados de organizações reais, reconstruídos para parecer sites ativos e legítimos, combinado com geração de "organizações fictícias completas" — com conteúdo, documentação e aparência corporativa — usando ferramentas de IA. Isso eleva a dificuldade de triagem automática baseada em idade de domínio ou presença de conteúdo "suspeito", já que o domínio tem histórico real e o conteúdo gerado por IA passa filtros simples de qualidade textual. Das mensagens identificadas, 750 milhões tinham como alvo específico clientes do Microsoft 365, sugerindo foco deliberado em credenciais corporativas de e-mail — que depois alimentam fraudes subsequentes como BEC (Business Email Compromise) e desvio de pagamentos.

A resposta coordenada combinou ação judicial (ordem de um tribunal federal da Flórida) com ação técnica de infraestrutura: apreensão e redirecionamento de domínios, desativação de contas no marketplace e bloqueio de 100 mil domínios usados para impersonação. Esse tipo de takedown de infraestrutura — e não apenas a prisão de operadores — é o que de fato reduz volume de ataque no curto prazo, já que phishing-as-a-service depende de reaproveitamento de kits e templates entre vários afiliados; derrubar o marketplace e os kits afeta todos os afiliados simultaneamente, não só uma campanha isolada.

Para organizações, a lição prática é que, mesmo não sendo alvo direto, a chance de que um funcionário tenha recebido um dos bilhões de e-mails dessa rede é alta — vale revisar registros de autenticação de e-mail (SPF/DKIM/DMARC), reforçar MFA resistente a phishing para contas Microsoft 365, e tratar qualquer domínio recém-reativado (expirado e ressuscitado) com o mesmo nível de suspeita que um domínio recém-registrado, já que essa técnica foi usada especificamente para contornar heurísticas de "domínio antigo é confiável".