Microsoft desarmó una plataforma que convertía casillas de mail robadas en una fábrica de estafas con inteligencia artificial

Te llega un mail de tu proveedor de siempre. Mismo tono, misma firma, mismo hilo de conversación. Te pide una transferencia urgente para no frenar una obra. Y vos, sin saberlo, terminás depositando plata en una cuenta que no tiene nada que ver con la empresa. Eso es, justamente, lo que una plataforma llamada EvilTokens se encargaba de automatizar. Microsoft acaba de desarticularla.

El caso me llamó la atención porque no era una estafa artesanal. Era un servicio con precio, soporte y panel de gestión. La IA entraba a una casilla de correo ya robada, leía los mensajes, detectaba facturas pendientes, identificaba quién autorizaba pagos dentro de la empresa y armaba un mensaje fraudulento que parecía escrito por la persona de siempre. Microsoft reportó que la plataforma afectó a más de 12.000 cuentas en más de 10.000 organizaciones en todo el mundo.

Cómo entraban sin pedirte la contraseña

Acá está la parte más delicada y la que más me preocupa como usuario. Los atacantes no necesitaban que la víctima escribiera su clave delante de ellos. Usaban un engaño llamado phishing por código de dispositivo: le mostraban una pantalla falsa o un mensaje que llevaba a la víctima a la página legítima de Microsoft, pero le pedían ingresar un código de autenticación. Al tipearlo, la persona autorizaba una sesión controlada por el atacante, sin tener idea de lo que estaba aceptando.

La consecuencia práctica es importante: en muchos casos, cambiar la contraseña no alcanzaba para cerrar el acceso. Los ciberdelincuentes ya tenían sesiones y tokens válidos abiertos. Microsoft tuvo que recomendar, expresamente, revocar sesiones y tokens, bloquear la opción de autenticación por código de dispositivo y migrar a métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys.

Qué miraba la IA una vez adentro

• Correos sobre transferencias y pagos pendientes entre la empresa y sus proveedores.
• Vínculos de confianza: quién le escribe a quién y con qué tono.
• Contactos clave, como gerentes administrativos o responsables de autorizar pagos.
• Historial de conversaciones reales, para usarlas como molde del mensaje falso.

Con todo eso en la mesa, el sistema elegía a quién suplantar y redactaba el correo fraudulento. No era un texto genérico copiado y pegado: estaba hecho a medida, basado en conversaciones reales de esa misma empresa.

Los cebos que usaban y a quiénes apuntaban

Microsoft Security detectó 44 tipos distintos de mensajes trampa. Entre los más comunes aparecían propuestas de construcción, ofertas de asociación comercial, avisos falsos de vencimiento de contraseñas y pedidos de cotización. Los rubros más golpeados fueron distribución mayorista, construcción y servicios financieros. También hubo víctimas en salud, educación superior e inmobiliarias.

“EvilTokens se comercializaba por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares. La suscripción incluía soporte al cliente y paneles de gestión.”Microsoft

La operación desactivó infraestructura del servicio y terminó con dos arrestos en Londres. Microsoft no publicó por ahora los nombres de los detenidos ni detalles completos de la investigación.

Lo que más me queda dando vueltas es la lógica del negocio. No estamos hablando de un hacker suelto en un garaje. Estamos hablando de un producto con precio de entrada, cuota mensual y atención al cliente, pensado para que cualquiera con 2.000 dólares pueda montar una campaña de fraude corporativo asistido por IA. La pregunta es cuándo aparecen los próximos, porque el modelo ya está probado y es rentable.