Te llega un mensaje de que tu paquete no pudo entregarse y tienes 24 horas para pagar el reenvío. Lo borras, bloqueas el número y a los dos días llega otro igualito, con otro logo. Parece obra de un delincuente muy constante, pero lo más probable es que nadie lo haya escrito esta mañana. Alguien lo compró ya armado, como quien se suscribe a una plataforma de streaming; y es que ya están usando los SMS de Phishing como servicio.
Microsoft y Health-ISAC (una organización sin fines de lucro del sector salud) anunciaron el desmantelamiento de tres piezas de un mercado criminal en idioma chino: YAM Store, CoGUI e Iron Man. Con una orden de un tribunal federal de Florida tomaron control de dominios de su infraestructura. Todo arrancó con una alerta de la policía nacional de Japón, los investigadores esperaban campañas sueltas y se toparon con algo parecido a una plaza comercial.
Cada local vende algo distinto. YAM Store es la proveedora: revende cuentas de Microsoft y Google, a veces montadas sobre dominios de organizaciones reales que dejaron vencer su página, para que el remitente parezca legítimo. CoGUI e Iron Man son los kits: sitios falsos y mensajes listos para usar. Iron Man, que desplazó a CoGUI a mediados de 2026, trae más de 2,300 plantillas que imitan bancos, paqueterías, hospitales, policías y dependencias de gobierno. El estafador no diseña nada, elige país, marca y pretexto. Es como una franquicia, no inventas la receta ni el letrero, solo abres la puerta.
Las cifras impresionan; más de mil millones de mensajes desde enero, dirigidos a más de 75,000 organizaciones. Los conteos varían según la fuente, pero Microsoft habla de 2,335 plantillas para 139 países; Resecurity, que probó una licencia en laboratorio, contó 2,360 para 130.
El detalle técnico que más pesa es que el kit no solo guarda lo que escribes, te acompaña en vivo. Según Microsoft, avisa por Telegram cuando la víctima ingresa contraseña, tarjeta o código de verificación, y el operador decide qué pantalla ve después. Es decir, cuando la “página del banco” te pide el código que acaba de llegarte por SMS, hay alguien del otro lado usándolo en ese instante en el sitio real. Además se esconde de los investigadores con CAPTCHAs falsos.
El Microsoft Digital Defense Report 2026 ubica a México en el 5to lugar de las Américas y el 34 global entre los países con más empresas impactadas por actividad cibernética, con el phishing detrás de 23% de las intrusiones a nivel mundial. Los documentos públicos sobre YAM Store no detallan qué plantillas apuntan a México, así que no conviene inventar el vínculo. Pero los pretextos coinciden con los que reporta la Condusef: multas, paquetes, bloqueos atribuidos al SAT o a la UIF, cargos en comercio electrónico y pasaportes de la SRE con un “segundo cobro”.
Su presidente, Óscar Rosado, explicó que, como contestamos cada vez menos llamadas de números desconocidos, los defraudadores migraron a SMS y WhatsApp masivos, y su blanco pasó de adultos mayores a personas de 30 a 50 años.
Microsoft detectó que casi todas las plantillas comparten el mismo esqueleto: urgencia, una tarea con plazo y un enlace con aspecto oficial. La regla práctica es no resolver nada desde el mensaje. Abre tú la app de la paquetería, del banco o del SAT, o llama al número que viene en tu tarjeta. Condusef recomienda justo eso: verificar en aplicaciones oficiales o líneas autenticadas.
Si diste clic pero no escribiste nada, cierra la página. Si capturaste datos de tarjeta, llama a tu banco de inmediato para bloquearla. Activar llaves de acceso (passkeys) o verificación en dos pasos ayuda, pero no te salva si tú mismo entregas el código en vivo.
No, Microsoft reconoce que estos tres servicios son solo una parte de una red más amplia, que además no se limita a sus propios servicios. Y no es el primer golpe de este tipo; en septiembre de 2025 tumbó 338 sitios de RaccoonO365, otro servicio de phishing por suscripción. Cae una tienda y abre otra con distinto nombre.
Quizá la pregunta es qué vale la confianza cuando fabricarla cuesta menos que verificarla, y quién debería pagar esa diferencia: tú, el banco, las plataformas… Por ahora nadie lo ha resuelto.
Imagen: GPT
Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *
Δ