A Microsoft anunciou a 14 de outubro de 2026 uma ação judicial contra três serviços de cibercrime em língua chinesa: o YAM Store, o CoGUI e o Iron Man. Estes serviços forneciam a criminosos de vários países contas na nuvem, kits de phishing já prontos a usar e a infraestrutura necessária para enviar mensagens fraudulentas em grande escala. Segundo a empresa, desde janeiro de 2026, os três serviços permitiram, em conjunto, mais de mil milhões de mensagens maliciosas dirigidas a mais de 75 mil organizações em todo o mundo, incluindo mais de 750 milhões destinadas apenas a clientes da Microsoft. São estes serviços que estão por trás de muitas das falsas mensagens sobre portagens por pagar, multas de trânsito ou encomendas retidas.
Resposta rápida: Um tribunal federal norte-americano autorizou a Microsoft e a Health-ISAC a apreender e redirecionar domínios do YAM Store, do CoGUI e do Iron Man. Estas três peças de um ecossistema chinês de phishing enquanto serviço estão ligadas a mais de mil milhões de mensagens fraudulentas desde janeiro. A operação dificulta o trabalho dos criminosos, mas não acaba com a ameaça. As organizações devem limitar o fluxo de autenticação por código de dispositivo e adotar MFA resistente a phishing. Os cidadãos devem continuar a desconfiar de SMS e emails sobre portagens, multas ou encomendas.
O que aconteceu
A ação foi divulgada pela Digital Crimes Unit (DCU) da Microsoft num comunicado oficial. Com uma ordem do Tribunal Distrital dos Estados Unidos para o Distrito Sul da Florida, a Microsoft e a Health-ISAC apreenderam e redirecionaram domínios que faziam parte da infraestrutura subjacente aos três serviços. A Health-ISAC é uma organização de partilha de informação sobre ameaças do setor da saúde. Juntou-se ao processo civil porque os atacantes usavam com frequência esta infraestrutura para visar hospitais e organizações de saúde.
Além da apreensão de domínios, a Microsoft já desativou mais de 20 mil contas ligadas ao YAM Store e continua a desmantelar a operação, removendo infraestrutura alojada nos seus serviços e bloqueando mais de 100 mil domínios usados para imitação e fraude. A empresa diz que as campanhas renderam dezenas de milhões de dólares aos operadores. Na operação participaram também a Agência Nacional de Polícia do Japão e várias empresas de segurança: Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs, bem como forças de segurança dos EUA e de outros países.
Três serviços, uma cadeia de fornecimento criminosa
Ao contrário de outras operações, esta não teve como alvo os autores das campanhas. Teve como alvo quem lhes vendia as ferramentas. A Microsoft identifica dois grupos: o mercado YAM Store, que acompanha com a designação Storm-3119, e os criadores dos kits de phishing, agrupados como Storm-2990. De acordo com a equipa de Threat Intelligence da Microsoft, o YAM Store funciona como intermediário de acesso. Sequestra tenants do Microsoft 365 e do Azure for Education e revende as contas, licenças e armazenamento roubados como serviço.
| Componente | Designação Microsoft | Função no ecossistema |
|---|---|---|
| YAM Store | Storm-3119 | Loja online de contas Microsoft e Google comprometidas ou obtidas de forma fraudulenta, com infraestrutura de alojamento |
| CoGUI (também NX ou FA) | Storm-2990 | Kit com sites e mensagens que imitam marcas, bancos e entidades públicas, muito usado contra vítimas no Japão e nos EUA |
| Haozi (também Phoenix) | Storm-2990 | Kit de phishing com capacidades semelhantes, vendido no mesmo mercado |
| Iron Man System | Storm-2990 | Kit vendido por subscrição e controlado por servidor de licenças, que foi substituindo o CoGUI a partir de meados de 2026 |
Segundo a TRM Labs, o YAM Store funcionava como uma loja online: os clientes podiam ver produtos, comparar preços e comprar contas Microsoft e Google fraudulentas, além de outras ferramentas para burlas, incluindo roubo de credenciais. A Microsoft avalia com elevada confiança que os kits foram desenvolvidos por atores de língua chinesa. A empresa nota ainda que as semelhanças na infraestrutura apontam para uma origem comum, reutilização de código ou colaboração próxima entre os criadores.
Como funcionavam os ataques
Os kits ofereciam um catálogo de iscos adaptados a cada país. Segundo a Microsoft, o Iron Man tem mais de 2335 modelos adaptados a mais de 139 países. Os EUA são o país com mais modelos, e a maioria dos iscos norte-americanos imita entidades de transportes e organismos públicos, como as autoridades que cobram portagens e estacionamento. A Resecurity comprou uma licença do kit e analisou-o em laboratório. Contou números ligeiramente diferentes: um catálogo de 2360 pacotes de iscos distintos, abrangendo 130 regiões-alvo.
Estas plataformas não se limitavam a páginas estáticas. Funcionavam como plataformas interativas de recolha de credenciais em tempo real, que permitiam aos operadores acompanhar as vítimas e pedir-lhes códigos de verificação de utilização única. Para dificultar a análise por investigadores, os kits suportavam geofencing, falsos CAPTCHA, filtragem por IP e outras medidas. Nos ambientes Microsoft comprometidos, os operadores usavam credenciais de aplicações roubadas para gerir contas e licenças, e abusavam do armazenamento do SharePoint e do OneDrive para alojar conteúdos.
Há um pormenor técnico que interessa sobretudo às equipas de segurança. A Microsoft indica que muitas das mais de 750 milhões de mensagens dirigidas a clientes do Microsoft 365 usavam phishing por código de dispositivo para obter tokens de autenticação. Nesta técnica, a vítima é levada a introduzir um código numa página legítima da Microsoft. Com isso, autoriza sem saber uma sessão controlada pelo atacante, que consegue contornar parte das proteções de MFA tradicionais.
O ponto fraco do Iron Man
Na análise da Resecurity, o modelo de negócio do kit também era a sua fragilidade. Os clientes do Iron Man compram uma subscrição que dá acesso ao servidor de licenças, cujo domínio está fixo no código do kit. A empresa confirmou que o painel não funciona sem contactar regularmente a infraestrutura do fornecedor. Por isso, uma ação coordenada contra o servidor de licenças e o repositório, combinada com o sinkholing do domínio de armazenamento, afetaria todos os compradores ao mesmo tempo, em vez de uma instalação de cada vez. Os investigadores encontraram ainda um servidor Git/registo de contentores operado pelo mesmo grupo, que expunha 911 versões históricas e uma lista sem autenticação de 8 contas de operadores registadas.
Cronologia
| Data | Acontecimento |
|---|---|
| Final de 2024 | A Proofpoint identifica um novo grupo de campanhas de email em volume muito elevado dirigidas ao Japão |
| 2025 | A polícia japonesa alerta a Microsoft para campanhas de mensagens contra residentes no Japão e começa a investigação |
| Janeiro de 2026 | Início do período em que o ecossistema soma mais de mil milhões de mensagens maliciosas |
| Junho de 2026 | O YAM Store começa a anunciar o kit Iron Man |
| Meados de 2026 | Os criminosos passam progressivamente do CoGUI para o Iron Man |
| 1 de outubro de 2026 | Último modelo de isco adicionado ao catálogo do Iron Man, segundo a Resecurity |
| 14 de outubro de 2026 | A Microsoft e os parceiros anunciam a apreensão de domínios e a ação judicial |
A Proofpoint indica que perto do final de 2024 os seus investigadores identificaram um grupo emergente de atividade de phishing que visava de forma consistente o Japão. Acrescenta que a Microsoft e a Health-ISAC também processaram os responsáveis do YAM Store e pessoas ligadas às operações. As fontes divergem quanto ao momento exato do alerta japonês à Microsoft, que umas situam no início e outras no final de 2025.
O que fazer: mitigação para organizações e cidadãos
A operação não tem vulnerabilidades associadas: não há CVE nem pontuação CVSS, porque se trata de abuso de serviços legítimos e de engenharia social. As fontes consultadas também não incluem uma lista pública de indicadores de comprometimento que se possa reproduzir. As medidas recomendadas são, por isso, sobretudo de configuração e de sensibilização:
- Bloquear o fluxo de código de dispositivo no Microsoft Entra ID com políticas de Acesso Condicional (controlo de fluxos de autenticação), mantendo exceções apenas onde for necessário.
- Adotar MFA resistente a phishing, como chaves FIDO2 ou passkeys, em vez de códigos por SMS ou de utilização única, que estes kits estavam preparados para intercetar.
- Vigiar ligações a SharePoint e OneDrive de tenants externos e consentimentos de aplicações invulgares, porque a infraestrutura usada abusava de ambientes legítimos.
- Rever sessões e tokens de contas suspeitas e revogá-los. Mudar só a palavra-passe não chega quando o atacante obteve um token válido.
- Para cidadãos: não abrir ligações recebidas por SMS ou email sobre portagens, multas ou encomendas. Confirmar sempre no site ou na aplicação oficial da entidade, escrevendo o endereço à mão.
Uma apreensão de domínios trava a infraestrutura conhecida, mas os grupos costumam reconstruí-la. O próprio responsável da DCU, Steven Masada, reconhece que estes serviços são apenas parte de uma rede criminosa maior, mas que desmantelá-los torna mais difícil aos criminosos obter as contas, ferramentas e infraestrutura de que dependem. Esta é mais uma de uma série de ações da Microsoft contra plataformas de phishing enquanto serviço, depois de, em setembro, a empresa ter anunciado a desativação do EvilTokens.
Porque é que isto importa em Portugal
As fontes consultadas não referem Portugal entre os principais alvos, que foram sobretudo os EUA, o Japão, a Austrália e a Índia. Ainda assim, o tipo de isco usado (portagens, multas, encomendas, verificação de conta) é o mesmo que tem circulado em mensagens fraudulentas em português. Além disso, os kits estavam preparados para dezenas de países e eram vendidos a qualquer comprador. Para as PME que usam Microsoft 365, o risco do phishing por código de dispositivo é real, independentemente da origem dos atacantes.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), comprometer contas de email e de colaboração pode ser um incidente a notificar ao CNCS. A gestão de identidades e a autenticação forte fazem parte das medidas de gestão de risco exigidas. Hospitais e prestadores de saúde, um dos setores visados nesta campanha, estão entre as entidades abrangidas. Quando houver acesso a dados pessoais, o RGPD obriga também a avaliar a notificação de violação à CNPD. Os incidentes podem ser comunicados ao CERT.PT, e as vítimas de burla devem apresentar queixa às autoridades.
Perguntas frequentes
O que são o YAM Store, o CoGUI e o Iron Man?
São três serviços de um mercado de cibercrime em língua chinesa. O YAM Store vendia contas Microsoft e Google comprometidas ou fraudulentas. O CoGUI e o Iron Man forneciam sites e modelos de phishing prontos a usar, que imitavam bancos, transportadoras e entidades públicas.
A ameaça acabou com esta operação?
Não. A Microsoft apreendeu domínios, desativou mais de 20 mil contas e bloqueia mais de 100 mil domínios, mas reconhece que estes serviços são só parte de uma rede maior. É provável que o volume de ataques diminua, mas os grupos podem reconstruir a infraestrutura.
O que é o phishing por código de dispositivo?
É uma técnica em que a vítima é levada a introduzir um código numa página legítima da Microsoft, autorizando sem saber a sessão do atacante. Assim, o atacante obtém um token de acesso sem precisar da palavra-passe e consegue contornar parte das proteções de MFA tradicionais.
Como se pode proteger uma PME portuguesa?
Bloqueando o fluxo de código de dispositivo no Microsoft Entra ID quando não é necessário, adotando MFA resistente a phishing (FIDO2 ou passkeys), revogando sessões suspeitas e formando os colaboradores para desconfiarem de mensagens sobre pagamentos, multas ou encomendas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft, pela Resecurity, pela Proofpoint e pela TRM Labs.