Desarticularon una plataforma que usaba inteligencia artificial para perfeccionar estafas con correos corporativos robados

La desarticulación de una plataforma que utilizaba inteligencia artificial para analizar correos corporativos robados y redactar mensajes fraudulentos encendió las alarmas sobre un nuevo nivel de automatización del delito digital. Microsoft confirmó que el sistema, identificado como EvilTokens, comprometió más de doce mil cuentas de correo electrónico belonging a más de diez mil organizaciones en distintos países, y que la intervención culminó con dos arrestos en Londres.

Cómo operaba la plataforma

El servicio ofrecía un paquete completo para sus suscriptores, que incluía el ingreso a casillas corporativas, el análisis automático de la mensajería interna y la producción de textos listos para engañar a otros integrantes de la misma organización. Para entrar a las cuentas, los atacantes recurrían a un engaño conocido como phishing por código de dispositivo, mediante el cual la propia víctima ingresaba un código de autenticación en la página legítima de inicio de sesión de Microsoft, autorizando sin saberlo una sesión controlada por el atacante.

Una vez dentro, las herramientas de inteligencia artificial se ocupaban de resumir y traducir los mensajes, identificar intercambios sobre pagos pendientes, reconstruir las relaciones de confianza dentro de cada empresa y sugerir qué identidad convendría suplantar. El sistema ayudaba, además, a redactar los correos fraudulentos apoyándose en conversaciones reales, lo que volvía mucho más convincente la maniobra.

Señuelos, víctimas y modelo de negocio

• El paquete inicial de EvilTokens se comercializaba por Telegram, con un pago inicial de mil quinientos dólares y una cuota mensual de quinientos dólares.
• Los mensajes de engaño incluían ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas; Microsoft Security identificó cuarenta y cuatro señuelos distintos.
• Las campañas afectaron principalmente a empresas de distribución mayorista, construcción y servicios financieros, aunque también alcanzaron a organizaciones de salud, educación superior y del sector inmobiliario.

Martina, estudiante avanzada de la Licenciatura en Sistemas de la Universidad Nacional de La Plata, señaló a este medio que la automatización del fraude cambia el escenario para las defensas tradicionales. Según explicó, ya no se trata de distinguir un correo mal redactado de uno legítimo, sino de verificar cada solicitud de pago o de cambio de datos por un canal paralelo antes de ejecutar cualquier transferencia.

La compañía también advirtió que cambiar la contraseña podía no alcanzar para cortar el acceso, ya que los atacantes conservaban sesiones y tokens asociados. Por eso, recomendó revocar las sesiones activas, bloquear la autenticación por código de dispositivo cuando fuera posible y adoptar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys, que requieren la presencia física del dispositivo para autorizar el ingreso.

Qué cambia en la práctica cotidiana

Para una Pyme, esto significa que el área de finanzas debe incorporar un paso adicional de verificación fuera del correo electrónico antes de aprobar cualquier transferencia o cambio de datos de proveedores. Para los usuarios individuales, la recomendación es concreta: habilitar métodos de autenticación que no dependan de códigos enviados por mensaje o por aplicación, ya que esos pueden ser capturados en el mismo engaño que roba la sesión.