Una plataforma de estafas con inteligencia artificial: cómo operaba EvilTokens y por qué complicaba incluso cambiar la contraseña

Detectar una factura pendiente, identificar quién autorizaba un pago y redactar un mensaje que pareciera parte natural de una conversación comercial: esas eran algunas de las tareas que resolvía de forma automática EvilTokens, una plataforma desarticulada por Microsoft que combinaba el robo de cuentas de correo con herramientas de inteligencia artificial aplicadas al fraude.

Según informó la compañía, el servicio había comprometido más de 12.000 cuentas de correo en más de 10.000 organizaciones. Una vez adentro, la IA se ponía a trabajar sobre los mensajes robados: los resumía, los traducía, buscaba intercambios sobre transferencias y reconstruía las relaciones de confianza dentro de cada empresa. Con ese material, el sistema sugería qué identidad era más conveniente suplantar y ayudaba a redactar correos fraudulentos que parecían escritos por la propia víctima.

Cómo funcionaba el ingreso a las cuentas

Para entrar a las casillas, los atacantes no necesitaban que el usuario les entregara la contraseña. Usaban un engaño conocido como phishing por código de dispositivo, una técnica tan simple como efectiva: le pedían a la víctima que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft, imitando un paso habitual del proceso. Al completar ese paso, la persona autorizaba sin saberlo una sesión controlada por el atacante.

Ese mecanismo tenía una consecuencia práctica que lo hacía especialmente persistente: cambiar la clave podía no alcanzar para cortar el acceso. Microsoft explicó que, además de cambiar la contraseña, era necesario revocar las sesiones activas y los tokens asociados, piezas digitales que funcionan como una especie de credencial temporal que mantiene abierta la puerta aunque se rote la cerradura principal.

Los anzuelos que se usaban para llegar a las víctimas

• Ofertas de construcción y propuestas de asociación comercial.
• Avisos de vencimiento de contraseñas y otros mensajes de seguridad.
• Solicitudes de propuestas y supuestas oportunidades de negocio.
• También se reportaron contactos directos por mensajería o redes sociales que derivaban en el mismo engaño.

Microsoft Security identificó 44 señuelos distintos. Las campañas golpearon sobre todo a empresas de distribución mayorista, construcción y servicios financieros, aunque también alcanzaron a organizaciones de salud, educación superior y del sector inmobiliario.

El negocio detrás de la plataforma

EvilTokens no era un grupo aislado: era un servicio comercializable. Se ofrecía por Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares. La suscripción incluía atención al cliente y paneles de gestión para que los operadores pudieran administrar las cuentas comprometidas, una estructura más parecida a la de una empresa de software que a la de una banda de ciberdelincuentes tradicional.

Qué recomienda hacer Microsoft y qué falta para que llegue a todos

La compañía recomendó bloquear la autenticación por código de dispositivo en las cuentas donde fuera posible y migrar hacia métodos resistentes al phishing, como las llaves de seguridad FIDO2, que son dispositivos físicos parecidos a una memoria USB que confirman el ingreso, y las passkeys, que reemplazan la contraseña por una clave criptográfica guardada en el propio teléfono o computadora.

La operación, que contó con la colaboración de fuerzas de seguridad del Reino Unido, terminó con el cierre de la infraestructura del servicio y dos arrestos en Londres. Lo que aún queda pendiente es más de orden cotidiano que técnico: que las empresas chicas y medianas, que suelen ser las más expuestas, adopten esos métodos de autenticación y revisen periódicamente las sesiones activas, porque mientras el bloqueo del código de dispositivo no esté activado por defecto en la mayoría de los servicios, el hueco que explotaba EvilTokens seguirá siendo una puerta de entrada demasiado fácil.