La estafa que ya sabe con quién hablás: así operaba la plataforma con IA que cayó tras dos arrestos en Londres

Una máquina que estudiaba a la víctima antes de escribir

Lo que distingue a EvilTokens de otras herramientas de fraude, según la propia investigación de Microsoft, no es la intrusión inicial sino lo que venía después. Una vez adentro de una casilla de correo legítima, la plataforma aplicaba modelos de inteligencia artificial para analizar el contenido de los mensajes: identificaba facturas pendientes, localizaba a las personas con autoridad para autorizar pagos, reconstruía los vínculos de confianza dentro de cada organización y, sobre esa base, sugería qué identidad convenía suplantar. El sistema incluso ayudaba a redactar los correos fraudulentos imitando el tono y los temas de conversaciones que efectivamente habían ocurrido. El resultado, advierten los especialistas, es que el engaño dejaba de parecerse a un mensaje genérico para convertirse en una continuación casi natural de la cadena de mails.

La magnitud que difundió la compañía estadounidense es considerable. Microsoft reportó que la plataforma comprometió más de 12.000 cuentas de correo electrónico pertenecientes a más de 10.000 organizaciones de distintos rubros. La intervención, que la empresa presentó como resultado de un trabajo conjunto con autoridades británicas, incluyó el derribo de infraestructura del servicio y dos arrestos en Londres, según se desprende del material que dio a conocer la propia compañía.

El ingreso: un truco que esquiva la contraseña

El mecanismo de acceso merece una explicación aparte porque explica por qué un cambio de clave tradicional no alcanzaba para cortar la intrusión. Los operadores de EvilTokens recurrían a una variante de phishing que en el mundo de la ciberseguridad se llama ataque por código de dispositivo: en lugar de pedirle a la víctima su contraseña directamente, la engañaban para que introdujera un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al hacerlo, la persona autorizaba sin saberlo una nueva sesión controlada por el atacante, lo que en la jerga se conoce como un token activo. Y aquí está el punto clave: aunque la víctima cambiara su contraseña al día siguiente, esos tokens podían seguir vigentes. Microsoft fue explícita al respecto y recomendó revocar de manera activa todas las sesiones abiertas además de modificar la clave, bloquear la posibilidad de autenticación por código de dispositivo cuando fuera viable y migrar hacia métodos resistentes al phishing, como las llaves de seguridad físicas FIDO2 o las passkeys, que son credenciales digitales atadas al dispositivo y al origen del sitio.

Los anzuelos: 44 modelos de mensaje y un negocio con precio fijo

La investigación de Microsoft Security detectó 44 plantillas distintas de mensajes de engaño. Entre ellas había ofertas de construcción, supuestas propuestas de asociación, alertas de vencimiento de contraseñas y pedidos de cotización. Los blancos principales fueron empresas de distribución mayorista, del sector de la construcción y de servicios financieros, aunque la plataforma también alcanzó a organizaciones de salud, educación superior e inmobiliaria. Lejos de ser un software gratuito compartido entre hackers, EvilTokens se comercializaba como un servicio. Según la compañía, el acceso se vendía a través de Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares. La suscripción incluía atención al cliente y paneles de gestión.

Para una pyme argentina que trabaja con proveedores del exterior o recibe pedidos de cotización por mail, el escenario que dibuja este caso es concreto: alguien sentado del otro lado puede estar leyendo la cadena entera, identificar a la persona que firma pagos y enviar un mensaje con su mismo tono de escritura. La recomendación de Microsoft vuelve a quedar en el centro: cambiar la contraseña ya no es suficiente, hay que revisar las sesiones activas, desactivar el inicio de sesión por código de dispositivo y migrar a passkeys o llaves de seguridad, que son las herramientas que rompen este tipo de engaño porque solo funcionan en el sitio legítimo y no sirven si la víctima las ingresa en una pantalla armada por el atacante.

• Revocar las sesiones activas, no solo cambiar la contraseña.
• Bloquear la opción de ingreso por código de dispositivo.
• Adoptar passkeys o llaves de seguridad FIDO2 como método principal.
• Capacitar al personal que autoriza pagos para confirmar solicitudes por un canal fuera del mail.
• Verificar cualquier cambio de cuenta o de instrucciones de pago por teléfono antes de transferir.