Caen los creadores de una plataforma que usaba inteligencia artificial para clonar conversaciones de correo y vaciar cuentas

Lo que acaba de desactivar Microsoft no era un virus ni un simple grupo de hackers sueltos. Era una plataforma comercial, con nombre propio, precios en dólares y hasta atención al cliente. Se llamaba EvilTokens y hacía algo que hasta hace poco parecía ciencia ficción: entrar en una casilla de correo, leer la correspondencia con ayuda de inteligencia artificial y preparar, con esa misma información, los mensajes falsos que se iban a usar para cometer fraudes. Según Microsoft, comprometió más de 12.000 cuentas en más de 10.000 organizaciones alrededor del mundo.

Cuando uno piensa en un ataque informático, imagina a alguien que prueba contraseñas al azar o manda un mail trucho con un archivo sospechoso. EvilTokens iba varios pasos más adelante. Primero robaba el acceso a una casilla de correo empresarial legítima. Después, sus herramientas de IA se ponían a trabajar sobre los mensajes ya almacenados: los resumían, los traducían, identificaban facturas pendientes, detectaban quién firmaba los pagos y reconstruían el mapa de relaciones de confianza dentro de la empresa. Con todo ese material listo, el sistema sugería qué identidad resultaba más conveniente suplantar y ayudaba a redactar el correo frauduloso, imitando el tono y los temas de conversaciones reales.

Cómo entraban sin pedir la contraseña

Para tomar el control de una cuenta no hacía falta que la víctima entregara su clave. Los atacantes apelaban a un engaño conocido como phishing por código de dispositivo: le pedían a la persona que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al hacerlo, sin saberlo, autorizaba una sesión controlada por el atacante. Esa vía tiene un detalle clave para cualquier usuario: cambiar la contraseña después podía no alcanzar para expulsar al intruso. Microsoft explicó que también era necesario revocar las sesiones abiertas y los llamados tokens, que son los comprobantes digitales que permiten a un sistema recordar que ya iniciaste sesión.

• Activar bloqueos contra la autenticación por código de dispositivo en las cuentas de Microsoft cuando la opción esté disponible.
• Usar métodos de login resistentes al phishing, como llaves de seguridad físicas FIDO2 o passkeys, que no funcionan con un simple código.
• Revisar periódicamente las sesiones activas y revocarlas si se ve algo desconocido.
• Desconfiar de cualquier correo que pida ingresar un código de verificación, incluso si parece venir de un servicio conocido.

Un negocio con precio, soporte y canales de venta

EvilTokens no se vendía en la oscuridad del mercado negro clásico. Tenía un precio de entrada de 1.500 dólares y una cuota mensual de 500 dólares, se promocionaba por Telegram e incluía paneles de gestión y soporte al cliente, como cualquier servicio de software. Los ganchos que usaban para atrapar víctimas eran variados: Microsoft identificó 44 plantillas distintas de mensajes de engaño, con propuestas de construcción, ofertas de asociación, avisos de vencimiento de contraseñas y solicitudes de cotización. Los blancos principales fueron empresas de distribución mayorista, construcción y servicios financieros, aunque también golpearon a organizaciones de salud, educación superior e inmobiliarias.

La operación que desactivó el servicio involucró acciones judiciales en Londres, donde hubo dos arrestos, y tareas técnicas para dar de baja la infraestructura utilizada por la plataforma. Microsoft difundió indicadores de compromiso para que empresas y administradores de sistemas pudieran detectar si alguna cuenta propia había sido afectada.

Como siempre que aparece un caso así, conviene llevar la novedad al plano de lo cotidiano. La IA que leía correos y escribía mensajes falsos no era una herramienta mágica: dependía de que alguien pudiera entrar primero a una casilla. La buena noticia es que la barrera está al alcance del usuario común. Un clic distraído que entrega un código de verificación puede abrirle la puerta a un sistema con inteligencia artificial capaz de leer años de correspondencia. Vale la pena revisar cómo se inicia sesión en el correo y, si se puede, dejar de lado los métodos viejos. Passkeys y llaves de seguridad suenan a tecnicismo, pero en la práctica son la diferencia entre un mail de phishing que rebota y uno que termina vaciando una cuenta.