Estafas con IA servidas en bandeja: cayó EvilTokens, la plataforma que leía tu mail y escribía el mensaje perfecto

¿Cuánto vale que alguien te lea la casilla del trabajo y te arme una estafa a tu medida? Bastante, por lo visto: 1.500 dólares de entrada y 500 por mes. Eso era lo que cobraba EvilTokens, una plataforma que Microsoft acaba de desarticular y que usaba inteligencia artificial para meterse en cuentas de mail corporativas, rastrear conversaciones y redactar mensajes falsos que parecieran escritos por la persona de siempre. El resultado: más de 12.000 cuentas comprometidas en más de 10.000 organizaciones, según reportó la propia compañía de Redmond.

¿Cómo entraban sin pedirte la clave?

Acá viene lo más sucio del asunto. Los atacantes no te pedían la contraseña. Te pedían un código de autenticación, uno de esos numeritos que te llegan al celular para confirmar el inicio de sesión, y te lo hacían ingresar en la página legítima de Microsoft. Al autorizarlo, abrías la puerta sin saberlo: una sesión quedaba conectada del lado de ellos. Y ojo con el dato clave: cambiar la contraseña después no alcanzaba. También había que revocar las sesiones y los tokens (esos permisos digitales que la página te entrega una vez y que duran aunque cambies la clave), algo que el usuario común ni sabe que existe. Microsoft recomienda directamente desactivar la opción de login por código de dispositivo y pasarse a passkeys o llaves FIDO2 (son las llaves físicas tipo USB, o las passkeys del celular, que verifican que el inicio de sesión sea en el sitio real y no en una copia).

¿Qué hacía la IA con tu correo?

• Leía los mails y armaba resúmenes y traducciones automáticas.
• Detectaba facturas pendientes y temas de plata en curso.
• Mapeaba quién le pedía cosas a quién y en qué tono.
• Sugería qué identidad suplantar y escribía el mensaje fraudulento listo para enviar.

Los 44 cebos que usaron iban desde propuestas de construcción hasta avisos de vencimiento de contraseña y solicitudes de partnership, todos con la misma lógica: entrar a la conversación donde ya había plata en juego. Los rubros más golpeados fueron distribución mayorista, construcción y servicios financieros, aunque también salpicaron a salud, universidades e inmobiliarias. El servicio se vendía por Telegram con panel propio y hasta soporte al cliente, como cualquier SaaS (software como servicio) legítimo. La operación, que se coordinó con fuerzas de seguridad internacionales, terminó con la infraestructura desactivada y dos arrestos en Londres.

Mientras tanto, en casa: revisá los métodos de login de tu correo, sacá los códigos por SMS si podés y activá una passkey. Cambiar la clave ya no es suficiente. Veremos.