Microsoft le bajó la persiana a EvilTokens: la fábrica de mails truchos que se fabricaba con tu propia bandeja

A mí me pasó una vez y no lo voy a olvidar: llegó un mail del área de pagos pidiendo una transferencia urgente, con el mismo tono, la misma firma, el mismo logo. Era un engaño. Ahora imaginate eso, pero potenciado por una inteligencia artificial que primero te lee la bandeja, te clasifica los contactos, te detecta las facturas sin cobrar y encima te redacta el mensaje trucho a la perfección. Eso era EvilTokens, y Microsoft acaba de desarticularlo.

Según informó la compañía, la plataforma había comprometido más de 12.000 cuentas de correo en más de 10.000 organizaciones. No estamos hablando de un hacker suelto en una garage: era un servicio comercial. Se vendía por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500, con soporte al cliente y panel de gestión incluido. O sea, atención al cliente para el estafador, una paradoja bastante triste.

Cómo te robaban la cuenta sin pedirte la contraseña

El truco era más sutil que el clásico "te pido tu clave". Usaban lo que se conoce como phishing por código de dispositivo: a vos te llevaban a la página legítima de inicio de sesión de Microsoft, y desde ahí te hacían ingresar un código de autenticación que en realidad autorizaba una sesión controlada por el atacante. Traducido al castellano de cocina: era como dejar entrar a un desconocido a tu casa y, encima, darle tu propia llave pensando que era la copia que te mandó el cerrajero.

Y acá viene lo grave: cambiar la contraseña después no resolvía nada. Microsoft aclaró que había que revocar las sesiones y los tokens (los "tokens" son esos permisos digitales que dan acceso sin volver a escribir la clave) que ya estaban emitidos. La empresa recomendó bloquear la autenticación por código de dispositivo siempre que se pueda y migrar a métodos que resistan este tipo de engaño, como las llaves de seguridad FIDO2 (un dispositivo físico parecido a una memoria USB que valida tu identidad) o las passkeys (claves digitales guardadas en tu celular o computadora).

Qué hacía la IA una vez adentro

• Leía y resumía los correos de la cuenta robada.
• Detectaba conversaciones sobre pagos pendientes o transferencias.
• Identificaba qué contactos tenían poder de decisión o de pago.
• Armaba un mapa de relaciones de confianza dentro de la empresa.
• Sugería a quién suplantar y redactaba el mensaje fraudulento imitando el tono y el estilo de la víctima.

O sea, no era una IA genérica sacando mails al azar. Era un sistema que estudiaba tu propia bandeja para escribirte un mensaje que sonara a vos. El horror hecho producto.

A quiénes apuntaban

Microsoft Security identificó 44 señuelos distintos. Los mails de entrada prometían obras de construcción, propuestas de asociación, avisos de vencimiento de contraseña y pedidos de cotización. Golpeaban sobre todo a empresas de distribución mayorista, construcción y servicios financieros, pero también salpicaron a organizaciones de salud, educación superior e inmobiliarias. Cuando un negocio funciona, le pega a todo lo que se mueve.

La operación desactivó la infraestructura del servicio y terminó con dos arrestos en Londres. No está mal como cierre: una organización criminal con servicio técnico y suscripción mensual, desarmada con un poco de paciencia internacional. Si yo fuera el que pagaba los 500 dólares al mes, estaría bastante enojado con el proveedor.

Qué hacer mañana a la mañana en tu oficina

• Revisá si tenés la autenticación por código de dispositivo habilitada y, si podés, desactivala.

Activá una llave de seguridad física o passkeys como segundo factor. Olvidate del SMS, ya quedó viejo para esto.

Si te llegó un mail pidiendo una transferencia urgente o un cambio de datos de pago, no respondas desde el mismo mensaje: andá a otro canal y confirmá con la persona en cuestión. Aunque el tono parezca perfecto, aunque el logo esté impecable. Sobre todo si parece perfecto.