Cuando la IA se pone a servicio de la estafa: la trastienda de EvilTokens, la plataforma que escribía correos truchos en piloto automático

Aguanten, que esta es de esas notas que uno lee y piensa: ya está, hasta acá llegamos. Imaginate la escena: abrís el mail del trabajo, te aparece un mensaje del proveedor de siempre, tono familiar, factura pendiente, un pedido de transferencia. Parece todo normal. Le das bola. Dos horas después, te das cuenta de que le pagaste a un desconocido con cara de proveedor. Bueno, eso era exactamente lo que vendía EvilTokens: el fraude como servicio, con inteligencia artificial incluida.

Qué hacía la herramienta, en cristiano

EvilTokens era una plataforma que, una vez adentro de una casilla de correo, se ponía a leer todo lo que encontraba. Traducía mensajes, los resumía, buscaba menciones a pagos pendientes, identificaba quién tenía poder de firma y reconstruía el mapa de confianzas de la empresa. Con ese material, la IA sugería a quién suplantar y redactaba los correos fraudulentos usando como molde las conversaciones reales de la víctima.

Según Microsoft, la affected a más de 12.000 cuentas en más de 10.000 organizaciones. El dato es de la propia compañía, que difundió el informe junto con la acción legal. Son números que sirven para dimensionar: no estamos hablando de un script casero, sino de un negocio con escala industrial.

Cómo entraban sin pedirte la clave

• El atacante enviaba un mensaje pidiendo que la víctima ingresara un código en la página legítima de login de Microsoft. Ese paso, que parece una verificación de seguridad rutinaria, era en realidad la autorización de una sesión controlada por el tercero.
• Una vez dentro, no bastaba con cambiar la contraseña: había que revocar las sesiones y los tokens asociados, esos pequeños permisos digitales que son como una copia temporaria de la llave que le diste al portero y que sigue vigente aunque cambies la cerradura.
• Microsoft recomendó desactivar la opción de autenticación por código de dispositivo y migrar a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys, que requieren presencia física y bloquean este tipo de maniobras.

Los anzuelos y los sectores más golpeados

Los correos de entrada no eran obra del ingenio extraterrestre. Microsoft Security identificó 44 plantillas distintas: ofertas de construcción, propuestas de partnership, avisos de vencimiento de contraseñas, solicitudes de propuesta (las famosas RFP, o sea, pedidos formales de cotización entre empresas). Nada demasiado sofisticado en la superficie, pero por debajo llevaba la firma personalizada que la IA fabricaba con tus propios mails.

Los blancos principales fueron mayoristas, constructoras y firmas de servicios financieros. También aparecieron casos en salud, educación superior e inmobiliario. O sea, cualquier mesa de dinero con interlocutores estables y costumbre de pagar rápido.

El precio del paquete y el operativo

EvilTokens se vendía por Telegram. Microsoft difundió la tarifa: 1.500 dólares de entrada y 500 por mes, con soporte al cliente y panel de gestión incluidos. Un SaaS del fraude, con su suscripción, su helpdesk y su onboarding. La ironía es casi poética: los mismos modales del software legal aplicados a delinquir.

El operativo desactivó infraestructura del servicio y terminó con dos arrestos en Londres. La investigación fue conjunta entre Microsoft, el Centro Nacional de Seguridad Cibernética del Reino Unido y unidades especializadas. Microsoft no confirmó públicamente las identidades de los detenidos, un dato que por ahora queda en reserva.

Qué te conviene hacer, en serio

Cambiá la contraseña sí o sí, pero no te quedes ahí: revisá las sesiones activas y revocá cualquier token que no reconozcas. Si podés, activá una passkey o una llave física tipo FIDO (es un aparatito que parece una memoria USB y solo autoriza el login si lo tocás vos). Desactivá la verificación por código de dispositivo en tu cuenta Microsoft si la tenés prendida. Y la próxima vez que un proveedor te pida transferir con urgencia, respirá,llamá por teléfono a quien ya conocés,y verificá que el número sea el de la guía, no el que viene en el mail.