Cae una plataforma que usaba inteligencia artificial para perfeccionar estafas con correos robados

El problema es conocido: alguien te escribe por mail pidiendo un pago urgente, con tono convincente y datos precisos. Lo nuevo es quién escribe del otro lado. Ya no es un estafador improvisado: es un sistema con inteligencia artificial que primero revisa tu casilla, detecta facturas pendientes, identifica a tu proveedor de confianza y después redacta el mensaje perfecto para sacarte plata.

Pongamos un caso bien argentino. Imaginate el correo de una pyme en un pueblo santacruceño, dedicada a la construcción. Llega un mail desde una dirección conocida del proveedor de materiales, con el mismo estilo de siempre, avisando que cambió el número de cuenta para una factura vencida. El responsable paga. Después descubre que el mail lo escribió una herramienta que ya había leído todos los mensajes anteriores de su cuenta y de la cuenta del proveedor. Eso, multiplicado por miles de empresas, es lo que hacía EvilTokens.

Qué era EvilTokens y cómo trabajaba

Cómo entraban sin pedirte la clave

El acceso a las casillas no dependía de que la víctima entregara la contraseña. Los atacantes usaban un engaño llamado phishing por código de dispositivo: le pedían a la persona que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al hacerlo, el usuario autorizaba sin saberlo una sesión controlada por el atacante.

La consecuencia práctica es importante: cambiar la contraseña podía no alcanzar para cortar el acceso. Microsoft explicó que también era necesario revocar las sesiones y los tokens asociados. La compañía recomendó bloquear la autenticación por código de dispositivo cuando fuera posible y utilizar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys.

• Bloquear la autenticación por código de dispositivo en las cuentas donde sea posible.
• Revocar sesiones activas y tokens asociados, además de cambiar la contraseña.
• Habilitar llaves de seguridad FIDO2 o passkeys para el inicio de sesión.
• Capacitar al personal para que nunca ingrese códigos de autenticación fuera del flujo habitual.
• Monitorear patrones de phishing con ingeniería social dirigida a pagos y transferencias.

El servicio tenía precio: 1.500 dólares de pago inicial y 500 dólares mensuales, según Microsoft. Se comercializaba por Telegram, incluía soporte al cliente y paneles de gestión. Los 44 señuelos identificados iban desde ofertas de construcción y propuestas de asociación hasta avisos de vencimiento de contraseñas y solicitudes de propuestas. Las víctimas principales fueron empresas de distribución mayorista, construcción y servicios financieros, con alcance también en salud, educación superior e inmobiliarias.

La intervención, según Microsoft, desactivó la infraestructura del servicio y derivó en dos arrestos en Londres. La operación vuelve a poner sobre la mesa una discusión de fondo: las mismas herramientas de IA que ayudan a resumir un mail o traducir un mensaje pueden usarse para automatizar fraudes a escala industrial, con un nivel de personalización antes reservado a un equipo humano dedicado. La pregunta es cuándo van a aparecer los próximos EvilTokens, porque el modelo de negocio ya está probado y los precios, en dólares, son accesibles.