Una plataforma con inteligencia artificial detrás de estafas por correo quedó fuera de servicio tras una operación internacional

Detectar una factura pendiente, identificar a quién autorizar un pago y redactar un mensaje que encajara en una conversación comercial real: esas eran algunas de las tareas que EvilTokens resolvía con inteligencia artificial después de ingresar a una cuenta de correo corporativa. Microsoft informó que desarticuló la plataforma, que comprometió más de 12.000 cuentas en más de 10.000 organizaciones en distintos países.

Cómo operaba el sistema

El proyecto, desarrollado por un grupo criminal que comercializaba el servicio en canales de mensajería, intervenía sobre los mensajes de cuentas ya vulneradas. Las herramientas integradas en EvilTokens resumían y traducían correos, localizaban intercambios sobre transferencias y reconstruían las relaciones de confianza dentro de cada empresa. Con ese material, el sistema sugería qué identidad resultaba conveniente suplantar y ayudaba a redactar mensajes fraudulentos apoyados en conversaciones previas.

El método de intrusión en tres pasos

Para acceder a las casillas, los atacantes no recurrían al robo directo de contraseñas. Aplicaban un esquema de phishing por código de dispositivo, que funcionaba de la siguiente manera: la víctima recibía una comunicación que la dirigía a la página legítima de inicio de sesión de Microsoft; allí se le solicitaba ingresar un código de autenticación de un solo uso; al hacerlo, autorizaba sin saberlo una sesión controlada por el atacante.

Ese mecanismo tenía una consecuencia práctica que la propia compañía destacó: cambiar la contraseña podía no alcanzar para cortar el acceso. Microsoft explicó que también era necesario revocar las sesiones activas y los tokens asociados. La empresa recomendó bloquear la autenticación por código de dispositivo cuando fuera posible y migrar hacia métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys.

• Los engaños incluían ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas comerciales.
• Microsoft Security identificó 44 señuelos distintos utilizados en las campañas.
• Los sectores más golpeados fueron distribución mayorista, construcción y servicios financieros, seguidos por salud, educación superior e inmobiliario.

EvilTokens se comercializaba por Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares, según la investigación de Microsoft. La suscripción incluía soporte al cliente y paneles de gestión para que los compradores pudieran administrar campañas y víctimas. La operación coordinada por Microsoft y fuerzas de seguridad desactivó la infraestructura del servicio y derivó en dos arrestos en Londres. La compañía señaló que los detalles completos sobre los detenidos y el alcance final de la intervención se difundirán cuando avance el proceso judicial.