Una extensa operación de phishing en chino ha utilizado aproximadamente 17.000 dominios de internet para suplantar la identidad de bancos, servicios de pago y minoristas, teniendo a Japón como su principal objetivo. Para lograrlo, emplean tres kits de phishing (CoGUI, CoAceV y CoFish_Ws) que envían correos engañosos para dirigir a las víctimas hacia páginas falsas de inicio de sesión o pago con el fin de robar sus credenciales.

Una gran operación de phishing en idioma chino ha utilizado alrededor de 17,000 dominios de internet para suplantar a bancos, servicios de pago, minoristas y otras marcas conocidas, siendo Japón su principal objetivo.

La operación se basa en tres kits de phishing relacionados —CoGUI, CoAceV y CoFish_Ws— para enviar correos electrónicos engañosos y dirigir a las víctimas a páginas falsas de inicio de sesión o de pago.

Estos hallazgos surgen mientras empresas de seguridad y socios de las fuerzas del orden desarticulan partes de esta red de fraude más amplia. Microsoft y Health-ISAC presentaron una demanda civil contra personas vinculadas a la operación y confiscaron o redirigieron dominios conectados a YAM Store, CoGUI e Iron Man.

La acción contó con la participación de socios del sector público y privado, incluidos Proofpoint, el Centro de Control de Ciberdelincuencia de Japón, Resecurity, Cloudflare, Oracle y TRM Labs.

Investigadores de Proofpoint identificaron la actividad de CoGUI a finales de 2024 y posteriormente rastrearon dos kits relacionados, CoAceV y CoFish_Ws. Proofpoint evalúa con alta confianza que los tres kits comparten raíces y son utilizados por afiliados coincidentes.

Los investigadores afirman que sus campañas han suplantado a 66 marcas, la mayoría de ellas japonesas, y han enviado mensajes a una escala que pone en riesgo cuentas financieras y datos personales.

La red de phishing china utiliza 17,000 dominios

Proofpoint contabilizó 13,586 dominios asociados con CoGUI, 2,812 con CoAceV y 191 con CoFish_Ws. En conjunto, los kits utilizaron alrededor de 17,000 dominios únicos durante el periodo en que los investigadores los rastrearon.

Los grupos también rotan su infraestructura: entre el 1 de julio y el 17 de septiembre de 2026, Proofpoint observó 3,788 nombres de dominio totalmente calificados (FQDN) únicos. Un FQDN es el nombre de dominio completo utilizado para llegar a un host específico en internet.

Los totales muestran por qué tú, como defensor, no puedes confiar únicamente en el bloqueo de una lista corta de direcciones web fijas. Los cambios frecuentes de dominio permiten que las campañas sigan funcionando después de que algunos sitios son identificados o eliminados.

La escala de la operación también se conecta con un ecosistema más amplio: datos de Microsoft citados por Proofpoint indican que YAM Store, CoGUI e Iron Man permitieron más de mil millones de mensajes maliciosos dirigidos a más de 75,000 organizaciones en todo el mundo desde enero de 2026.

Los correos electrónicos utilizan temas como actualizaciones de cuentas bancarias, detalles de pago, tarjetas de crédito, pedidos de compras y avisos de entrega. Sus enlaces pueden pasar por pasos de filtrado, incluyendo verificaciones de CAPTCHA, antes de abrir una página que copia el portal de pago o inicio de sesión de una empresa de confianza.

Las páginas falsas luego te piden que ingreses los detalles de tu cuenta. Esto se asemeja a las tácticas descritas en un informe anterior sobre el kit de phishing CoGUI y la suplantación de marcas, que también documentó intentos de recolectar credenciales y datos de tarjetas de pago.

Las marcas nombradas por Proofpoint incluyen PayPay, MyJCB, Rakuten, SMBC, Aeon Card, UC Card, Matsui Securities, Amazon, Apple, DHL y Yamato Transport.

Cómo las páginas de phishing roban la información

La mayor parte de la actividad observada afectó a Japón, aunque Proofpoint también reportó campañas que alcanzaron a Estados Unidos, Australia e Italia. Los servicios financieros y la salud fueron los sectores más frecuentemente afectados en sus datos, seguidos por el gobierno, la educación y la manufactura.

Los kits también utilizan métodos destinados a dificultar el análisis. Proofpoint observó que CoGUI y CoAceV redirigen a los visitantes a sitios señuelo no relacionados cuando las condiciones de navegación no coinciden con lo que los operadores esperan.

Esto puede evitar que las herramientas de seguridad automatizadas vean la página real de phishing. El enfoque tiene un propósito similar, aunque no necesariamente el mismo diseño técnico, al flujo de CAPTCHA falso descrito en el informe sobre URLs de autenticación básica utilizadas en phishing.

La interrupción reciente se centró en la infraestructura y los servicios que soportan la actividad de phishing, en lugar de demostrar que cada dominio o campaña relacionada haya dejado de funcionar.

Proofpoint afirma que es probable que la acción cree problemas operativos para los atacantes y afecte al ecosistema de phishing en idioma chino en general. El resultado dependerá de si los grupos reconstruyen su infraestructura, cambian sus kits o se trasladan a otros servicios.

Para los bancos y otras organizaciones, los pasos prácticos incluyen verificar los enlaces de correo electrónico y los nombres de dominio, utilizar la autenticación de múltiples factores y monitorear inicios de sesión inusuales o cambios en las cuentas de los clientes. Los equipos de seguridad también deben revisar rápidamente las URLs de phishing reportadas y compartir los indicadores confirmados con los socios pertinentes.

Para ti, como individuo, evita iniciar sesión a través de enlaces en mensajes inesperados; en su lugar, abre la aplicación oficial del banco o escribe su dirección conocida en el navegador.

Un caso similar de robo de credenciales centrado en Japón que afectó a inversores fue cubierto en el informe sobre una campaña de phishing dirigida a inversores de Monex.