Microsoft tumba la tienda que vendía kits para mandar SMS falsos: más de mil millones de mensajes desde enero

Todos hemos recibido el SMS del paquete que no se puede entregar o de la multa pendiente. Detrás de muchos de esos mensajes hay un negocio que vende las piezas a quien quiera estafar. Microsoft ha contado ayer cómo ha desmontado uno de esos negocios.

Las cifras, según Microsoft

• Más de 1.000 millones de mensajes maliciosos enviados desde enero de 2026 con estas herramientas.
• 750 millones de ellos se hacían pasar por Microsoft o iban contra sus clientes.
• Más de 75.000 organizaciones atacadas en más de 150 países.
• 2.300 plantillas listas para suplantar a bancos, tiendas, hospitales, autoridades de tráfico, policías, aerolíneas, operadoras y empresas de paquetería.
• Más de 20.000 cuentas de Microsoft desactivadas y más de 100.000 dominios bloqueados.
• Ganancias para sus operadores: «decenas de millones de dólares».

Cómo funcionaba

Eran tres piezas de un mismo mercado en chino:

1. YAM Store, una tienda como cualquier otra, con precios y catálogo, donde se compraban cuentas falsas o robadas de Microsoft y Google. Para conseguir cuentas de empresa, compraban dominios caducados de ONG y centros educativos y reconstruían sus webs para que parecieran activas.
2. CoGUI, un kit con webs y mensajes ya hechos que imitaban a empresas y bancos. Microsoft enseña una copia de Amazon para robar contraseñas y tarjetas a usuarios japoneses.
3. Iron Man, el sustituto de CoGUI desde mediados de 2026, con las 2.300 plantillas de correo, SMS y webs adaptadas a cada marca, sector y país.

La investigación empezó a finales de 2025, cuando la Agencia Nacional de Policía de Japón avisó a Microsoft de una oleada de mensajes fraudulentos contra japoneses. Con una orden de un juzgado federal de Florida, Microsoft y Health-ISAC, una organización de ciberseguridad del sector sanitario, se han quedado con los dominios que sostenían las tres plataformas.

¿Había plantillas españolas?

Microsoft no publica la lista de países ni de marcas. Enseña como ejemplo plantillas de una autoridad de tráfico de Filipinas y de Correos de Australia, y aclara que aparecer en ellas no significa que la empresa suplantada haya sufrido un ataque. Con 150 países, es difícil que España no estuviera; el patrón es el mismo que el de las falsas multas de la DGT que contamos hace unos días.

¿Cambia algo para ti?

Algo, pero no mucho. Tumbar el proveedor encarece y retrasa las campañas, y Microsoft reconoce que estas tres plataformas son «solo una parte» de una red más grande. Los SMS falsos van a seguir llegando. Las reglas no cambian:

• No pulses enlaces de SMS que te meten prisa por un pago, un paquete o una multa. Entra tú en la web o la app oficial.
• Desconfía también de los correos que parecen de una ONG o un colegio reales: con webs reconstruidas así sacaban cuentas de Microsoft 365 que luego vendían.
• Si has metido datos o pagado, llama a tu banco y al 017 de INCIBE, que es gratuito.

Nuestra opinión

Lo más útil de la nota no son las cifras sino la imagen de cómo funciona esto: quien te manda el SMS no ha escrito el mensaje ni ha montado la web. Ha pagado una suscripción. Por eso los fraudes se copian tan rápido de un país a otro y por eso cerrar estas tiendas sirve más que perseguir cada mensaje.