14 out Operação global derruba rede responsável por 1 bilhão de mensagens de golpe
Uma operação internacional de combate ao cibercrime desmantelou uma infraestrutura global responsável pela circulação de mais de um bilhão de mensagens fraudulentas desde o início deste ano. A rede utilizava e-mails e mensagens de texto SMS para enganar vítimas e invadir sistemas de mais de 75 mil organizações em 150 países, incluindo órgãos públicos, bancos e empresas de saúde.
O desmantelamento ocorreu após uma ordem expedida pela Justiça dos Estados Unidos, no Distrito Sul da Flórida. A ação permitiu que a Microsoft e a organização sem fins lucrativos Health-ISAC assumissem o controle e redirecionassem domínios que sustentavam a operação. A big tech também desativou mais de 20 mil contas e bloqueou cerca de 100 mil domínios criados para aplicar golpes de personificação de marcas e órgãos governamentais.
Início das investigações
A investigação começou no final de 2025, quando a Agência Nacional de Polícia do Japão alertou a Microsoft sobre um aumento incomum de fraudes digitais no país. Ao buscar a origem dos ataques, os investigadores descobriram um mercado cibercriminoso em idioma chinês conhecido como YAM Store, rastreado tecnicamente como “Storm-3119?. A plataforma funcionava como um centro de suprimentos para criminosos digitais e oferecia acesso a ambientes em nuvem da Microsoft e do Google obtidos de forma fraudulenta.
Para criar essas contas falsas com aparência legítima, os operadores do ecossistema compravam domínios de organizações reais que haviam expirado, como entidades sem fins lucrativos ou de educação. Eles recriavam os sites dessas instituições e, com o apoio de ferramentas de inteligência artificial (IA), geravam documentações falsas para reativar os registros. Com esses acessos em mãos, os criminosos comercializavam o espaço para hospedar páginas de golpe e disparar mensagens em massa.
Atrelados ao YAM Store funcionavam conjuntos de ferramentas de phishing conhecidos como CoGUI, Haozi e Iron Man System, agrupados sob o código “Storm-2990?. Esses kits ofereciam aos compradores milhares de modelos prontos que simulavam comunicados oficiais. Entre os pretextos mais comuns estavam notificações de encomendas pendentes, multas de trânsito atrasadas, alertas bancários e verificações de segurança de conta.
O modelo Iron Man, que ganhou força no meio do ano, disponibilizava mais de 2.300 modelos de páginas falsas adaptados para 130 países. A empresa de cibersegurança Resecurity participou das investigações após obter licenças de acesso e analisar a estrutura interna mantida pelos desenvolvedores.
“O que parece ser uma simples mensagem de golpe é, muitas vezes, a ponta visível de uma operação cibercriminosa transnacional muito maior”, afirmou Steven Masada, conselheiro geral associado e gerente geral da Unidade de Crimes Digitais da Microsoft.
A cooperação internacional contou ainda com o apoio do Centro de Controle de Crimes Cibernéticos do Japão e das empresas de tecnologia Cloudflare, Oracle, Proofpoint e TRM Labs. Segundo dados da Proofpoint, apenas no ecossistema vinculado ao kit CoGUI, mais de 17 mil domínios foram identificados no último ano. A estratégia dos criminosos envolvia a troca constante de endereços na internet para burlar os sistemas automatizados de segurança.
Os pacotes de ferramentas vendidos no mercado clandestino contavam com recursos para dificultar a análise por especialistas, como bloqueio por localização geográfica e mecanismos que exigiam a confirmação de que o visitante era um usuário real antes de exibir a página falsa. As informações capturadas, como senhas e dados de cartões de crédito, eram enviadas em tempo real aos criminosos por meio de canais automatizados no Telegram.
Monitoramento e proteção
Apesar da amplitude da apreensão, os especialistas ressaltam que o combate ao mercado de serviços cibercriminosos exige monitoramento contínuo, uma vez que novos endereços e ferramentas são criados com rapidez:
“Uma ação coordenada de bloqueio dos servidores de licenciamento e do registro de softwares, combinada com o redirecionamento dos domínios de armazenamento, desestrutura a operação para toda a sua base de compradores simultaneamente”, destacaram os pesquisadores da equipe de inteligência de ameaças da Resecurity em relatório sobre o caso.
As empresas afetadas pelas tentativas de representação indevida das marcas não tiveram os sistemas internos invadidos para a criação dos modelos de golpe. A Microsoft informou que continua atuando em conjunto com autoridades policiais internacionais, como o Serviço Secreto dos Estados Unidos, para identificar os operadores do grupo e remover infraestruturas residuais que ainda estejam ativas.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.