Una plataforma con inteligencia artificial detrás de más de doce mil cuentas de correo comprometidas

Por Emanuel Castillo. Educación y universidad. La cifra que abre esta historia es contundente: más de 12.000 cuentas de correo electrónico comprometidas en más de 10.000 organizaciones de todo el mundo. Ese es el saldo que Microsoft atribuyó a EvilTokens, una plataforma desarticulada que durante meses funcionó como una fábrica de estafas potenciada por inteligencia artificial. La herramienta no se limitaba a robar claves: entraba a las casillas, leía las conversaciones y usaba esa información para redactar mensajes fraudulentos con un nivel de personalización inusual.

Detrás de los mails suplantados había un mecanismo automatizado que hacía tres tareas clave. Primero, analizaba el contenido de los correos robados para identificar pagos pendientes, contratos en curso y nombres de personas con autoridad para aprobar transferencias. Segundo, mapeaba la red de contactos de la víctima para saber a quién escribir y bajo qué tono. Tercero, redactaba los mensajes fraudulentos apoyándose en conversaciones reales, lo que volvía a los engaños mucho más difíciles de detectar.

¿Cómo entraban a las cuentas sin pedir la contraseña?

El método elegido por los operadores de EvilTokens fue lo que en la jerga se conoce como phishing por código de dispositivo. En lugar de solicitar la clave directamente, la víctima recibía un mensaje que la llevaba a la página legítima de inicio de sesión de Microsoft. Allí se le pedía que ingresara un código de autenticación generado por su propio sistema de seguridad. Sin saberlo, estaba autorizando una sesión controlada por el atacante, que quedaba abierta aunque la víctima no compartiera nunca su contraseña.

Lorena, administradora de una pyme de servicios en Buenos Aires, conoce de cerca el problema. Hace seis meses recibió un mail que parecía provenir del área de soporte de su proveedor de correo. Le pedía un código de seis dígitos para validar un cambio de configuración. Lo ingresó, todo pareció normal, y recién tres semanas después detectó transferencias no autorizadas. Como el token de sesión seguía vigente, cambiar la contraseña no resolvió nada hasta que revocó las sesiones activas y los dispositivos asociados.

Ese es justamente el punto que Microsoft buscó instalar en su comunicado: cambiar la clave ya no garantiza cortar el acceso. La compañía recomendó a usuarios y empresas bloquear la autenticación por código de dispositivo cuando fuera posible y migrar a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys, que requieren presencia física del usuario y no pueden ser derivadas a un sitio falso.

¿Qué buscaban los estafadores y a quiénes apuntaban?

Microsoft Security identificó 44 plantillas o señuelos distintos usados por EvilTokens. Entre ellos había propuestas de asociación comercial, avisos sobre vencimiento de contraseñas, ofertas de construcción y solicitudes de presupuestos. La operación golpeó con más fuerza a empresas de distribución mayorista, construcción y servicios financieros, pero también alcanzó a organizaciones de salud, universidades y firmas del sector inmobiliario.

El modelo de negocio del servicio era tan estructurado como su software. La suscripción se comercializaba por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares. A cambio, los compradores accedían a paneles de gestión y soporte al cliente, una suerte de servicio técnico para cometer fraudes que recordaba, por su nivel de organización, a una empresa SaaS convencional.

¿Qué falta para que este tipo de plataformas deje de proliferar?

La operación coordinada por Microsoft permitió desactivar infraestructura clave del servicio y derivó en dos arrestos en Londres. Sin embargo, el caso deja varios temas abiertos. Las plataformas de mensajería como Telegram, usadas como canal de venta, no siempre colaboran del mismo modo con las investigaciones. También persiste un debate sobre la responsabilidad de los grandes proveedores de inteligencia artificial, cuyos modelos pueden ser instrumentalizados para redactar mensajes de fraude con apariencia legítima. Y en el plano local, las pyMES argentinas que no adoptaron autenticación multifactor robusta siguen siendo blanco fácil: hasta que no migren a llaves de seguridad o passkeys, el próximo EvilTokens tendrá la puerta abierta.