Cayeron en Londres dos operadores de una plataforma que fabricaba fraudes con inteligencia artificial sobre correos corporativos

Detectar una factura pendiente, reconocer quién firma un pago y escribir un mensaje que se mimetice con una conversación comercial: esas eran algunas de las tareas que resolvía de manera automática una plataforma llamada EvilTokens, que ahora fue desarticulada por Microsoft con colaboración de autoridades británicas. La compañía estadounidense informó que la infraestructura del servicio quedó fuera de servicio y que hubo dos arrestos en Londres.

El caso vuelve a poner el foco sobre una modalidad que ya inquieta a los equipos de ciberseguridad: el uso de inteligencia artificial como acelerador de estafas. No se trata de un programa que escribe un correo al azar, sino de un sistema que toma como materia prima los propios mensajes de una casilla ya comprometida y los transforma en un insumo listo para engañar.

Cómo funcionaba la plataforma

La IA intervenía sobre los mensajes robados. Las herramientas resumían y traducían correos, localizaban intercambios sobre transferencias y reconstruían las relaciones de confianza dentro de cada empresa. Con ese material, el sistema sugería qué identidad suplantar y ayudaba a redactar mensajes fraudulentos basados en conversaciones reales. El objetivo declarado era simplificar el fraude mediante correos empresariales.

Según Microsoft, el servicio se ofrecía en Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares. La suscripción incluía atención al cliente y paneles de gestión, una operatoria similar a la de cualquier servicio de software por suscripción, pero cuyo producto terminado era un correo diseñado para estafar.

El método de entrada: phishing por código de dispositivo

Para entrar a las casillas, los atacantes no necesitaban que la víctima entregara su contraseña. Usaban un engaño conocido como phishing por código de dispositivo, comparable a prestar la propia llave de casa sin saberlo: le pedían a la persona que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al hacerlo, la víctima autorizaba sin saberlo una sesión controlada por el atacante.

Ese mecanismo tenía una consecuencia práctica clave: cambiar la contraseña podía no alcanzar para cortar el acceso. Microsoft explicó que también era necesario revocar las sesiones y los tokens asociados, es decir, los permisos digitales que mantienen abierta la puerta aunque la llave haya cambiado. La compañía recomendó bloquear la autenticación por código de dispositivo cuando fuera posible y utilizar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys.

Qué buscaban y a quiénes golpearon

Los mensajes de engaño incluían ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas. Microsoft Security identificó 44 señuelos distintos, una variedad que muestra el grado de personalización del ataque. Las campañas afectaron principalmente a empresas de distribución mayorista, construcción y servicios financieros, aunque también alcanzaron a organizaciones de salud, educación superior y del sector inmobiliario.

• Microsoft informó que la plataforma comprometió más de 12.000 cuentas en más de 10.000 organizaciones en distintos países.
• Los accesos se obtenían mediante phishing por código de dispositivo, sin necesidad de capturar la contraseña de la víctima.
• Cambiar la clave no era suficiente: había que revocar sesiones y tokens asociados.
• La operación incluyó la desactivación de la infraestructura del servicio y dos arrestos en Londres.

Qué falta para que deje de ser una amenaza masiva

El caso deja tareas pendientes tanto para empresas como para usuarios. En el corto plazo, conviene revisar los métodos de autenticación habilitados en las cuentas y desactivar los que dependan de códigos que pueden ser solicitados por terceros. En el mediano plazo, especialistas coinciden en que la adopción masiva de passkeys y llaves de seguridad FIDO2 reduciría la eficacia de este tipo de engaños, ya que esos métodos vinculan el inicio de sesión a un dispositivo físico y bloquean los ataques de ingeniería social. Mientras esa migración avance, la combinación de inteligencia artificial con correos corporativos robados seguirá siendo una herramienta barata y potente para los delincuentes, como demuestra el modelo de suscripción que ofrecía EvilTokens.