Una red de phishing gestionada desde China ha sido vinculada al envío de mil millones de correos electrónicos fraudulentos, afectando a unas 75.000 organizaciones. La operación utiliza Iron Man System, una plataforma de pago que permite a los cibercriminales desplegar sitios web falsos y recolectar información sensible sin necesidad de desarrollar sus propias herramientas.

Una red de phishing gestionada por China ha sido vinculada a mil millones de correos electrónicos de phishing dirigidos a 75.000 organizaciones, según un informe publicado el 14 de octubre de 2026.

La operación se centra en Iron Man System, una plataforma de phishing de pago que permite a los criminales desplegar sitios web falsos y recopilar información confidencial sin tener que construir sus propias herramientas.

El informe enumera estas cifras impactantes, pero no explica su periodo de medición ni el método de recuento. Sus hallazgos detallados documentan 2.360 plantillas de phishing que cubren 130 países y áreas.

Estos números describen el alcance reportado de la red y las herramientas disponibles, no brechas confirmadas en cada organización afectada.

Investigadores de Resecurity identificaron y mapearon la operación tras comprar una licencia y ejecutar el software en un laboratorio aislado.

Su investigación técnica sobre Iron Man describe un kit de phishing en lugar de malware instalado en los dispositivos de las víctimas. El equipo también entró en comunidades gestionadas por actores de amenazas chinos para investigar a sus desarrolladores y asociados.

Red de Phishing China Vinculada a 1.000 Millones de Mensajes

Iron Man System utiliza un backend en Go y se entrega como una imagen de contenedor, lo que permite a los compradores ejecutar el paquete en sus propios servidores.

Su panel de control en chino e inglés gestiona páginas falsas, configuraciones de marca y el estado de la licencia. Los investigadores probaron la versión 6.3.1, que mostraba una cuenta regresiva de suscripción y configuraba señuelos relacionados con pagos.

Este modelo comercial reduce la habilidad necesaria para ejecutar campañas de phishing. Informes anteriores sobre servicios de phishing en lengua china explican cómo las plantillas prediseñadas y los paneles compartidos ayudan a los criminales a atacar varios países a la vez.

Esa tendencia general proporciona contexto, pero no establece que servicios separados compartan los operadores de Iron Man. La biblioteca de plantillas suplantaba a mensajeros, bancos, agencias tributarias, minoristas, proveedores de telecomunicaciones y organismos públicos.

DHL tuvo el mayor número de plantillas individuales, con 37, seguido de DPD con 24 y Apple con 23. Las marcas relacionadas con entregas formaron la categoría más grande, reflejando el atractivo de los avisos de paquetes familiares como cebo de phishing.

Tácticas comparables aparecieron en el kit de smishing Panda Shop, que utilizaba páginas falsas de entrega y banca para recopilar información financiera. El alcance confirmado de Iron Man es distinto: su biblioteca incluía 551 etiquetas de tipo de señuelo, con entradas actualizadas hace tan poco como el 1 de octubre de 2026.

Versiones Expuestas Revelan Infraestructura Compartida

Los investigadores encontraron un servidor Gitea accesible públicamente que contenía el código del kit y el registro de contenedores. Expuso 911 versiones de imágenes publicadas y ocho cuentas registradas. Los lanzamientos recientes mostraron un desarrollo continuo, mientras que nombres de proyectos coincidentes vincularon el registro directamente con el paquete probado en lugar de un espejo no relacionado.

La configuración de las versiones reveló almacenamiento compatible con S3 y una base de datos MariaDB configurada en direcciones internas. Aparecieron credenciales estáticas en versiones históricas, aunque Resecurity omitió sus valores.

El análisis del código también vinculó catálogos de productos e imágenes cargadas con registros capturados que contenían productos seleccionados y campos de tarjetas de pago.

El diseño reutilizable se asemeja al enfoque empresarial descrito en el informe del servicio de phishing Darcula, donde los suscriptores reciben plantillas de marca y actualizaciones continuas. Sin embargo, los hallazgos de Iron Man no establecen que utilice los canales de mensajería de Darcula ni que comparta sus desarrolladores.

El panel del laboratorio comprobaba su estado de licencia local aproximadamente cada 20 segundos, activando el contacto del lado del servidor con el host de autorización del proveedor.

Esta dependencia ofrece a los defensores un punto de interrupción central: desactivar el servicio de licencias podría afectar a muchos despliegues a la vez en lugar de requerir una acción separada contra cada sitio web falso.

Resecurity afirmó que Microsoft lideró la operación más amplia y que su Unidad de Delitos Digitales ayudó a desmantelar a los desarrolladores y la infraestructura. Aún así, versiones recientes indicaron actividad continua. La atribución sigue siendo limitada: el informe vincula infraestructura y cuentas, pero no confirma la identidad real de ningún operador.

Fuentes:
https://cybersecuritynews.com/chinese-phishing-network/