Cae una red de estafas con IA que leía la bandeja de entrada para imitar a proveedores y jefes

Detectar una factura pendiente, reconocer quién firma un pago y escribir un mensaje que encaje en una conversación comercial: esas eran las tres patas de un mismo engaño. La plataforma EvilTokens resolvía esas tareas con inteligencia artificial después de infiltrarse en casillas de correo electrónico. Microsoft informó este martes que la desarticuló tras comprobar que había comprometido más de 12.000 cuentas en más de 10.000 organizaciones en todo el mundo.

La particularidad del caso es que la IA no generaba los fraudes desde cero. Analizaba el contenido de los mensajes ya almacenados en la bandeja de entrada: los resumía, los traducía cuando hacía falta y reconstruía el mapa de relaciones de confianza dentro de cada empresa. Con ese material, el sistema sugería qué identidad resultaba más conveniente suplantar y ayudaba a redactar los textos fraudulentos, de modo que parecieran una continuación natural de una cadena de mails existente. Es, llevado a la cocina, como abrir la heladera de alguien, ver qué está cocinando y escribirle una receta que imita la suya sin que lo note.

Cómo entraban sin pedir la contraseña

Para acceder a las cuentas, los atacantes no necesitaban que la víctima les entregara la clave. Empleaban un engaño conocido como phishing por código de dispositivo: mostraban a la persona una página legítima de inicio de sesión de Microsoft y le pedían que ingresara allí un código de autenticación. Al hacerlo, el usuario autorizaba sin saberlo una sesión controlada por el atacante, sin que mediara contraseña robada.

Ese mecanismo tenía una consecuencia práctica que sorprendió a varios equipos de seguridad: cambiar la contraseña podía no alcanzar para cortar el acceso. Microsoft explicó que también era necesario revocar las sesiones activas y los tokens, que son las credenciales temporales que mantienen abierta la puerta aun después de rotar la clave. La compañía recomendó bloquear la autenticación por código de dispositivo cuando fuera posible y utilizar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys, que dependen del dispositivo físico del usuario y no de un número enviado por mensaje.

Qué mirar en una investigación de este tipo

• Los hilos de correo sobre pagos o transferencias: si alguien pide cambiar un dato de facturación, conviene confirmarlo por un canal distinto al mail.
• Los intentos de login y los códigos de autenticación solicitados por sorpresa: si nunca pediste uno, no lo ingreses.
• Las sesiones y tokens activos en la cuenta: cambiar la clave no siempre los revoca, hay que cerrarlos manualmente.
• Los señuelos más reportados por Microsoft: ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y pedidos de cotización, con 44 variantes detectadas.
• El origen real del mensaje: aunque el remitente parezca conocido, hay que revisar la dirección completa y los encabezados del correo.
• Los sectores más golpeados: distribución mayorista, construcción y servicios financieros encabezan la lista, seguidos por salud, educación superior e inmobiliario.

El negocio detrás del servicio

EvilTokens se comercializaba por Telegram con una tarifa inicial de 1.500 dólares y una cuota mensual de 500 dólares, según Microsoft. La suscripción incluía soporte al cliente y paneles de gestión para que los compradores pudieran administrar sus campañas. La empresa presentó el caso ante un tribunal de Virginia, Estados Unidos, y obtuvo una orden para desactivar la infraestructura. En paralelo, las autoridades británicas detuvieron a dos personas en Londres en el marco de la misma investigación.

Lo que todavía no se sabe

Quedan varios interrogantes abiertos. Microsoft no publicó hasta ahora la identidad de los detenidos en Londres ni el país de origen de los operadores de EvilTokens. Tampoco difundió cifras precisas sobre el dinero defraudado ni un detalle país por país de las organizaciones afectadas. Resta saber si los arrestos derivarán en extradiciones hacia Estados Unidos, donde se radicó la denuncia, y si aparecerán nuevas plataformas que ofrezcan un servicio similar con otro nombre.