EvilTokens: cómo funcionaba la plataforma de inteligencia artificial que fabricaba correos falsos a medida

La empresa tecnológica Microsoft y organismos de seguridad informática desmantelaron una infraestructura de ciberestafas denominada EvilTokens, acusada de utilizar inteligencia artificial para analizar cuentas de correo corporativo comprometidas y producir mensajes de fraude adaptados al estilo y al contenido de cada organización. La firma, que difundió los detalles del operativo, indicó que el sistema había afectado a más de 12.000 cuentas en más de 10.000 entidades en distintos países.

La pesquisa fue encabezada por el equipo de Microsoft Threat Intelligence, con colaboración de la Unidad Nacional de Delitos Cibernéticos del Reino Unido y respaldo del centro de coordinación internacional para el combate del cibercrimen. La causa aún no tiene una carátula pública confirmada en la jurisdicción donde se ejecutaron los procedimientos; en tanto, la Justicia británica trabaja en la identificación de los responsables y eventuales cómplices.

El mecanismo de intrusión: phishing por código de dispositivo

De acuerdo con lo acreditado en la etapa inicial de la investigación, los operadores de EvilTokens no obtenían las claves de acceso mediante el método tradicional de solicitar la contraseña al usuario. Recurrían a una variante conocida como phishing por código de dispositivo: la víctima recibía un mensaje que simulaba una alerta de seguridad y la derivaba a la página legítima de inicio de sesión de Microsoft, donde se le pedía ingresar un código de autenticación. Al completar ese paso, la persona habilitaba sin saberlo una sesión controlada por el atacante.

Los investigadores sostuvieron que esta vía tenía un efecto adicional: el cambio de contraseña, recomendado de forma habitual tras un incidente, podía no alcanzar para cortar el acceso. Por eso, el equipo de seguridad de Microsoft aconsejó revocar de forma explícita las sesiones activas y los tokens asociados, además de bloquear la autenticación por código de dispositivo cuando fuera técnicamente posible y migrar a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys.

Qué hacía la inteligencia artificial dentro de la cuenta

• Resumía y traducía el contenido del buzón para mapear la operatoria de la organización.
• Detectaba conversaciones referidas a pagos pendientes, facturas y transferencias en curso.
• Identificaba a los contactos con capacidad de autorizar pagos dentro de cada empresa.
• Reconstruía las relaciones de confianza entre remitentes y destinatarios.
• Sugería qué identidad resultaba más conveniente suplantar en cada caso.
• Redactaba mensajes fraudulentos que replicaban tono, vocabulario y temas reales.

El material de cebo utilizado en los correos trampa fue reconstruido por los analistas: se detectaron 44 plantillas distintas, entre ellas ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas comerciales. Los sectores más golpeados, según el relevamiento, fueron distribución mayorista, construcción y servicios financieros, aunque también se registraron compromisos en organizaciones de salud, educación superior e inmobiliaria.

El modelo de negocio y los operativos

La plataforma se ofrecía a través de grupos de Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares, e incluía soporte al cliente y paneles de gestión, según la documentación reunida por Microsoft. En el Reino Unido se ejecutaron dos arrestos en Londres y se procedió a desactivar infraestructura vinculada al servicio, lo que incluyó sitios web y canales de comercialización.

En el plano estrictamente probado, los reportes técnicos presentados por Microsoft dan cuenta del volumen de cuentas comprometidas y de la operatoria descripta, pero aclaran que la atribución de responsabilidad penal sobre personas físicas es todavía una hipótesis que atraviesa la etapa de identificación de sospechosos, mientras continúa la cooperación internacional con otras fuerzas de seguridad y con proveedores de servicios de correo electrónico.

La causa, según adelantaron voceros consultados, avanza con el análisis forense de los dispositivos secuestrados y la trazabilidad de los pagos de las suscripciones. No se informó, por el momento, la fecha de la próxima audiencia en territorio británico, y se aguarda que la Justicia londinense y la Unidad Nacional de Delitos Cibernéricos definan en las próximas semanas las citaciones y eventuales imputaciones formales.