Operação global derruba rede responsável por 1 bilhão de mensagens de golpe

Uma operação internacional de combate ao cibercrime desmantelou uma infraestrutura global responsável pela circulação de mais de um bilhão de mensagens fraudulentas desde o início deste ano.

A rede utilizava e-mails e mensagens de texto SMS para enganar vítimas e invadir sistemas de mais de 75 mil organizações em 150 países, incluindo órgãos públicos, bancos e empresas de saúde.

O desmantelamento ocorreu após uma ordem expedida pela Justiça dos Estados Unidos, no Distrito Sul da Flórida.

A ação permitiu que a Microsoft e a organização sem fins lucrativos Health-ISAC assumissem o controle e redirecionassem domínios que sustentavam a operação.

A big tech também desativou mais de 20 mil contas e bloqueou cerca de 100 mil domínios criados para aplicar golpes de personificação de marcas e órgãos governamentais.

Início das investigações A investigação começou no final de 2025, quando a Agência Nacional de Polícia do Japão alertou a Microsoft sobre um aumento incomum de fraudes digitais no país.

Ao buscar a origem dos ataques, os investigadores descobriram um mercado cibercriminoso em idioma chinês conhecido como YAM Store , rastreado tecnicamente como “Storm-3119?.

A plataforma funcionava como um centro de suprimentos para criminosos digitais e oferecia acesso a ambientes em nuvem da Microsoft e do Google obtidos de forma fraudulenta.

Para criar essas contas falsas com aparência legítima, os operadores do ecossistema compravam domínios de organizações reais que haviam expirado, como entidades sem fins lucrativos ou de educação.

Eles recriavam os sites dessas instituições e, com o apoio de ferramentas de inteligência artificial (IA), geravam documentações falsas para reativar os registros.

Com esses acessos em mãos, os criminosos comercializavam o espaço para hospedar páginas de golpe e disparar mensagens em massa.

O painel de administração do “Iron Man System” na implantação isolada do laboratório da Resecurity, o modo de exibição Frontend Management, mostrando duas instâncias de isca configuradas e uma contagem regressiva de licença em execução (capturada em um IP de laboratório não roteável, caminho de administrador oculto visível, mas não funcional fora do laboratório).

Foto: Reprodução/Resecurity Atrelados ao YAM Store funcionavam conjuntos de ferramentas de phishing conhecidos como CoGUI, Haozi e Iron Man System, agrupados sob o código “Storm-2990?.

Esses kits ofereciam aos compradores milhares de modelos prontos que simulavam comunicados oficiais.