Cazada la red que usaba la inteligencia artificial para vaciar casillas de correo y armar estafas a medida

Le confieso que este tema me golpeó de lleno. Hace poco, mientras revisaba la cuenta de correo del diario, encontré un mensaje que parecía venir de un proveedor con el que trabajamos hace años: tono amable, datos concretos, un pedido de transferencia a una cuenta nueva. Daba toda la pinta de ser genuino. Por suerte, antes de mover un peso, llamé por teléfono al proveedor y del otro lado me confirmaron que ellos no habían mandado nada. Después me enteré de que existen herramientas capaces de leer una casilla robada, encontrar justamente esas conversaciones sobre pagos pendientes y escribir un mail nuevo, calcado al estilo de la empresa, listo para estafar. Una de esas herramientas se llama EvilTokens y acaba de ser desarticulada por Microsoft.

Qué hacía exactamente EvilTokens

La plataforma operaba como un servicio llave en mano para ciberdelincuentes. Una vez que los atacantes lograban entrar a una casilla de correo corporativo, las herramientas de inteligencia artificial se ponían a trabajar sobre los mensajes ya almacenados: los resumían, los traducían, identificaban intercambios referidos a transferencias o facturas, y reconstruían el mapa de relaciones de confianza dentro de cada organización. Con ese material a la vista, el sistema sugería qué identidad resultaba conveniente suplantar y ayudaba a redactar correos fraudulentos que se apoyaban en conversaciones reales, no en guiones genéricos. El objetivo declarado era simple: convertir el fraude por correo empresarial en un proceso casi automático.

• Lectura y resumen de correos ya almacenados en la cuenta robada.
• Detección de pagos pendientes, facturas por cobrar y contactos clave.
• Reconstrucción de la cadena de confianza dentro de cada empresa.
• Sugerencia de a quién suplantar y con qué argumento.
• Redacción de mails fraudulentos en el idioma y el tono de la víctima.
• Paneles de gestión y soporte al cliente para los suscriptores.

El acceso a las casillas no se conseguía con un pedido burdo de contraseña. Los atacantes utilizaban un engaño conocido como phishing por código de dispositivo: le solicitaban a la víctima que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al completar ese paso, la persona terminaba autorizando, sin saberlo, una sesión controlada por el atacante. Lo más inquieto es que, una vez obtenido ese acceso, cambiar la clave podía no alcanzar para cortarlo: también hacía falta revocar las sesiones y los tokens asociados. La compañía recomendó, siempre que fuera posible, bloquear la autenticación por código de dispositivo y pasarse a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys.

A quiénes apuntaban y cómo se vendía

Microsoft Security detectó 44 señuelos distintos utilizados en las campañas. Entre los más repetidos aparecían ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas comerciales. Los sectores más golpeados fueron la distribución mayorista, la construcción y los servicios financieros, aunque también se reportaron víctimas en salud, educación superior y el rubro inmobiliario. En total, según la compañía, la plataforma comprometió más de 12.000 cuentas en más de 10.000 organizaciones.

El servicio se comercializaba por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares, según Microsoft. La suscripción incluía soporte al cliente y paneles de gestión, lo que lo dejaba a la altura de cualquier software comercial. La intervención, que contó con colaboración internacional, desactivó infraestructura del servicio y dejó dos arrestos en Londres, aunque la investigación continúa abierta y podría derivar en más imputaciones.

Si usted recibe un mail de un proveedor conocido pidiendo un cambio de banco, un CBU nuevo o un pago urgente, mi recomendación es la de siempre, por más antigua que suene: nunca responda por correo. Cuelgue, busque el teléfono en una fuente que ya tuviera guardada y llame para confirmar de voz a voz. Hoy, con herramientas como EvilTokens en la calle, ese clic que parece inofensivo puede salirle muy caro. Y si le quedan dudas, cambie la contraseña, pero también cierre todas las sesiones abiertas y revise los métodos de autenticación asociados a su casilla.