EvilTokens: cómo una plataforma con inteligencia artificial automatizaba fraudes a partir de correos electrónicos robados

Cuando Marta, administrativa de una distribuidora en el conurbano bonaerense, abrió el correo con el asunto "Actualización de pagos pendientes" pensó que era una factura más. No lo era: era el inicio de un fraude que ya estaba en marcha dentro de su propia casilla. Detectar la factura, reconocer quién autorizaba el pago y escribir un mensaje que encajara en la conversación comercial fueron, según Microsoft, algunas de las tareas que una plataforma llamada EvilTokens resolvía con inteligencia artificial después de ingresar a una cuenta de correo.

El Ministerio de Seguridad de la Nación, a través de su área de cibercrimen, suele recordar que las estafas con identidad suplantada son una de las modalidades que más creció en los últimos años. En ese contexto, la compañía Microsoft informó esta semana que desarticuló a EvilTokens, una plataforma que había comprometido más de 12.000 cuentas de correo electrónico en más de 10.000 organizaciones de distintos países.

Qué hacía exactamente la inteligencia artificial

La IA intervenía sobre los mensajes ya robados. Las herramientas resumían y traducían correos, localizaban intercambios sobre transferencias y reconstruían las relaciones de confianza dentro de cada empresa. Con ese material, el sistema sugería qué identidad suplantar y ayudaba a redactar mensajes fraudulentos basados en conversaciones reales. El objetivo, describió la compañía, era automatizar el fraude mediante correos empresariales con un nivel de detalle que antes requería horas de lectura manual.

Para entrar a las casillas, los atacantes no necesitaban que la víctima les entregara su contraseña. Usaban un engaño conocido como phishing por código de dispositivo: le pedían a la persona que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al hacerlo, la persona autorizaba sin saberlo una sesión controlada por el atacante.

Por qué cambiar la contraseña no siempre alcanza

Ese mecanismo tenía una consecuencia práctica que a muchos les cuesta entender: cambiar la clave podía no alcanzar para cortar el acceso. Microsoft explicó que también era necesario revocar las sesiones y los tokens asociados. La compañía recomendó bloquear la autenticación por código de dispositivo cuando fuera posible y utilizar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys, que son credenciales digitales almacenadas en el propio dispositivo del usuario.

• Los mensajes de engaño incluían ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas, con 44 señuelos distintos identificados por Microsoft Security.
• Las campañas afectaron principalmente a empresas de distribución mayorista, construcción y servicios financieros, aunque también alcanzaron a organizaciones de salud, educación superior y del sector inmobiliario.
• EvilTokens se comercializaba por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares. La suscripción incluía soporte al cliente y paneles de gestión.
• La operación desactivó infraestructura del servicio y dejó dos arrestos en Londres, según lo informado por la compañía.

Qué se puede hacer desde casa y desde la oficina

Lo que cuenta Marta es, en buena medida, lo que cuenta cualquiera: nadie está exento de entrar a un enlace que parece legítimo. Por eso, lo que se puede hacer desde casa empieza por lo más básico y a veces más postergado: activar el segundo factor de autenticación con una llave física o una passkey en lugar del clásico código por SMS, desconfiar de cualquier mensaje que pida ingresar un código de autenticación, revisar periódicamente las sesiones activas en la cuenta de correo y, ante la duda, reportar el mensaje al área de sistemas. Y, como me suele repetir un especialista al que consulto seguido, una cosa es cierta: en estas maniobras, la mejor defensa sigue siendo la pausa antes del clic.