Cómo EvilTokens usó la inteligencia artificial para vaciar cuentas de correo y disparar fraudes a medida

Vender fraude como si fuera un servicio. Así funcionaba EvilTokens, una plataforma que Microsoft logró desarticular después de una investigación que incluyó dos arrestos en Londres. La novedad es que no se trataba del correo falso de siempre: la inteligencia artificial estaba puesta al servicio del engaño.

La lógica era simple y por eso peligrosa. Una vez adentro de una casilla, el sistema leía los mails recientes, los resumía, los traducía si hacía falta y armaba un mapa de quién hablaba con quién y quién firmaba los pagos. Con ese material, la IA sugería a quién suplantar y hasta redactaba el mensaje fraudulento, copiando el tono de la conversación real.

Cómo entraban sin pedir la clave

El vector de ingreso no era la contraseña, sino la víctima misma. Los atacantes recurrían a un engaño conocido como phishing por código de dispositivo: le pedían a la persona que ingresara un código de autenticación en la página legítima de Microsoft. Al tipearlo, la persona autorizaba una sesión controlada por el atacante sin darse cuenta.

Acá viene un detalle que muchos equipos de sistemas subestiman, me lo confió un becario que trabaja en soporte: cambiar la contraseña no alcanzaba para cortar el acceso. También había que revocar las sesiones y los tokens asociados. Microsoft recomienda bloquear la autenticación por código de dispositivo y migrar a métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys.

Los 44 engaños que circulaban

• Ofertas de construcción y licitaciones.
• Propuestas de asociación comercial.
• Avisos de vencimiento de contraseñas.
• Solicitudes de propuestas (RFP) de proveedores.
• Temas vinculados a pagos y transferencias pendientes.

Esos fueron los 44 señuelos que Microsoft Security detectó en las campañas. Los sectores más golpeados fueron distribución mayorista, construcción y servicios financieros, aunque también aparecieron víctimas en salud, educación superior e inmobiliario. El saldo total: más de 12.000 cuentas comprometidas en más de 10.000 organizaciones.

Un servicio con precio, soporte y panel

EvilTokens se comercializaba por Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500. La suscripción incluía atención al cliente y paneles de gestión para los compradores, un modelo similar al de cualquier software empresarial, pero aplicado al delito.

¿Y eso para qué sirve? Para entender que el fraude corporativo dejó de ser un mail torpe escrito a mano: hoy se compra como servicio y se automatiza con IA. La defensa ya no pasa solo por un antivirus, sino por revisar sesiones activas, cortar tokens y migrar a métodos de login que no se dejen engañar por un código en pantalla.