Cómo la policía japonesa desmanteló una red de estafas masivas

La pista vino de Tokio, no de Washington.

Ese es el detalle que muy probablemente pasen por alto los informes en inglés sobre la reciente operación de Microsoft. La compañía anunció el 14 de octubre que había intervenido los dominios detrás de tres servicios en chino —CoGUI, Iron Man y YAM Store— que en conjunto enviaron más de mil millones de mensajes fraudulentos a víctimas en más de 150 países desde enero de 2026. Pero la investigación no comenzó con una citatorio estadounidense ni con una alerta interna de inteligencia de amenazas. Comenzó cuando el gobierno japonés compartió con Microsoft datos sobre campañas de phishing dirigidas a usuarios japoneses.

Lo que siguió fue inusual en escala y estructura. Microsoft obtuvo una orden judicial del Tribunal Distrital de EE. UU. para el Distrito Sur de Florida, trabajó con Health-ISAC para evaluar el impacto en organizaciones médicas, se asoció con la firma de ciberseguridad Resecurity para comprar acceso a Iron Man y colaboró con la Agencia Nacional de Policía de Japón y el Centro de Respuesta a Crisis de Ciberdelitos de Japón. El resultado no fue simplemente el cierre de tres sitios web. Fue el primer mapa coherente de una cadena de suministro de cibercrimen comercializado que trataba el fraude como un negocio de software-como-servicio.

El fraude como plataforma autoservicio.

Los tres servicios que Microsoft desmanteló cumplían funciones distintas pero interconectadas. CoGUI e Iron Man eran proveedores de kits de phishing. Permitían a cualquiera generar páginas falsas de inicio de sesión que imitaban bancos, agencias gubernamentales, minoristas y empresas de entregas, sin escribir una sola línea de código. Iron Man por sí solo ofrecía más de 2.300 plantillas que cubrían organizaciones en más de 150 países. La compra de prueba de Resecurity confirmó la amplitud: plantillas que suplían a las autoridades de tráfico filipinas y Australia Post se encontraban junto a páginas falsas de Amazon diseñadas específicamente para extraer credenciales de usuarios japoneses.

YAM Store era la capa de mercado. Vendía los insumos que necesitaban los estafadores: cuentas comprometidas de Microsoft y Google, credenciales robadas y acceso a dominios inactivos que podían revitalizarse para parecer legítimos. Los operadores compraban dominios expirados a fundaciones sin fines de lucro e instituciones educativas, luego registraban cuentas a nombre de esas identidades antes de listar los activos secuestrados en venta. Un comprador en Tailandia podía adquirir una cuenta falsa de Microsoft 365, emparelarla con una plantilla de Iron Man que suplía a un banco tailandés y lanzar una campaña en cuestión de horas.

Microsoft estima que los tres servicios generaron decenas de millones de dólares en ingresos. Setecientos cincuenta millones de los más de mil millones de mensajes fraudulentos se dirigieron específicamente a clientes de Microsoft. Las organizaciones víctimas superaron las 75.000 a nivel global. Esa no es una afición dispersa de hackers individuales trabajando desde sótanos. Ese es un ecosistema comercial organizado con gerentes de producto, atención al cliente y niveles de precios.

Por qué importa el ángulo japonés.

La participación de Japón no debe leerse como algo incidental. El informe inicial de la Agencia Nacional de Policía de Japón a Microsoft a finales de 2025 se centró en campañas de phishing dirigidas a objetivos japoneses. JC3, el centro especializado de Japón contra los ciberdelitos, agregÓ inteligencia de más de 130 organizaciones miembros y conectó casos que inicialmente parecían incidentes separados en un único patrón de campaña. Sin esa agregación, el alcance de la operación habría permanecido fragmentado entre jurisdicciones nacionales.

Este es el problema estructural que ha limitado la aplicación transfronteriza en materia cibernética durante años. Las campañas de fraude son globales por diseño. La infraestructura está alojada en múltiples países, los operadores se comunican en canales cifrados y las víctimas están distribuidas geográficamente. Ninguna agencia de aplicación de la ley por sí sola tiene la imagen completa. Steven Masada de Microsoft declaró claramente que ninguna organización tenía visibilidad del alcance total del mercado criminal antes de esta investigación. El modelo de cooperación —policía japonesa compartiendo datos de amenaza localizados, Microsoft correlacionándolos con telemetría global, Health-ISAC evaluando el impacto sectorial específico y Resecurity proporcionando reconocimiento operacional— fue lo que hizo posible la intervención.

Qué significa esto para la gobernanza de plataformas.

La intervención es una victoria, pero también es evidencia de un patrón recurrente. Los cibercriminales ya no necesitan desarrollar infraestructura desde cero. La alquilan. Los kits de phishing, las cuentas comprometidas y los dominios falsos son mercaderías comercializadas en mercados de la dark web y foros semi-públicos. Cuando Microsoft intervino los dominios y deshabilitó más de 20.000 cuentas de YAM Store, eliminó un nodo de esa cadena de suministro. Pero la demanda subyacente permanece. Nuevos servicios surgirán, a menudo con ligeras variaciones en la marca o el diseño de plantillas. El propio servicio Iron Man parecía haber reemplazado a CoGUI hacia mediados de 2026, lo que sugiere un mercado competitivo para estas herramientas.

La implicación más profunda tiene que ver con la responsabilidad. Las plataformas tecnológicas están siendo cada vez más solicitadas para actuar como aplicadoras en jurisdicciones donde no tienen mandato legal ni rendición de cuentas política limitada. Microsoft obtuvo una orden judicial, lo que proporciona cierto cobijo legal, pero la compañía está efectivamente realizando una función que históricamente correspondía a agencias de aplicación de la ley coordinándose a través de fronteras. La pregunta es si este modelo ad hoc público-privado puede escalar. El sistema actual depende de que compañías individuales elijan invertir en asociaciones de inteligencia global sobre amenazas y tengan disposición para emprender acciones legales en tribunales estadounidenses específicos. Esa no es una base sostenible para la aplicación internacional contra el cibercrimen.

El problema de las plantillas.

Microsoft fue cuidadosa al señalar que la presencia del nombre de una organización en una plantilla de Iron Man no significa que los sistemas de esa organización hubieran sido comprometidos. Las plantillas son réplicas genéricas. Una página falsa de Australia Post no requiere una brecha en la infraestructura de Australia Post. Esta distinción importa porque desplaza la carga de la defensa. Las organizaciones no pueden depender de la suposición de que sus sistemas permanecer intactos significa que están a salvo. La amenaza proviene de réplicas profesionalmente producidas que son indistinguibles de los originales para cualquiera que reciba un solo SMS sobre una entrega fallida o un peaje impagado.

Las 2.300 plantillas documentadas en Iron Man representan una superficie de ataque cuantificable. Cada plantilla es un punto de entrada preconstruido para una campaña de ingeniería social. El costo para un criminal es prácticamente cero: una suscripción mensual al servicio y unos pocos dólares por una cuenta comprometida. El costo de defenderse de ello está distribuido entre miles de organizaciones, cada una necesitando educar a usuarios, desplegar filtrado de correo electrónico y monitorear intentos de suplantación. No existe una defensa centralizada contra un producto diseñado específicamente para ser copiado.

Hacia dónde va esto接下来.

El impacto inmediato de la intervención será medible en la reducción del volumen de phishing, al menos a corto plazo. Microsoft ha bloqueado más de 100.000 dominios asociados con la operación y retirado infraestructura fraudulenta de sus propios servicios. Pero el modelo operacional —herramientas de fraude comercializadas vendidas al postor más alto— persistirá. La lección para los legisladores es que el actual mosaico de cooperación bilateral y aplicación liderada por empresas es insuficiente. Lo que se necesita es un marco formalizado para el intercambio de inteligencia entre agencias policiales nacionales y plataformas tecnológicas globales, con protocolos legales claros que permitan la intervención rápida de dominios y la suspensión de cuentas a través de jurisdicciones sin requerir una orden judicial separada en cada caso.

La Agencia Nacional de Policía de Japón debería ser reconocida no solo por hacer el informe inicial sino por agregar incidentes dispares en un patrón que reveló la operación más amplia. Ese es el modelo que otros países deberían replicar. La próxima campaña de mil millones de mensajes no esperará una pista japonesa. Llegará desde otro lugar, dirigida a otra región, a través de un servicio con un nombre diferente. La infraestructura se verá similar. La respuesta necesita ser más rápida.