Microsoft desarticula una plataforma que usaba inteligencia artificial para perfeccionar estafas por correo electrónico

La firma tecnológica Microsoft anunció la desarticulación de una plataforma identificada como EvilTokens, que empleaba inteligencia artificial para transformar correos electrónicos robados en insumos listos para el fraude corporativo. De acuerdo con el informe difundido por la empresa, el servicio comprometió más de doce mil cuentas de correo en más de diez mil organizaciones de distintos países, con un impacto que alcanzó principalmente a empresas de distribución mayorista, construcción y servicios financieros, aunque también se extendió a entidades de salud, educación superior y el sector inmobiliario.

Cómo operaba la plataforma

La herramienta no selimitaba a robar contraseñas: una vez dentro de las casillas, la inteligencia artificial procesaba los mensajes almacenados con el fin de detectar facturas pendientes, identificar a las personas autorizadas para autorizar pagos y reconstruir las cadenas de confianza dentro de cada compañía. Con ese material, el sistema sugería qué identidad resultaba conveniente suplantar y asistía en la redacción de mensajes fraudulentos que imitaban el tono y el contenido de conversaciones comerciales reales.

El mecanismo de ingreso

Para acceder a las cuentas, los atacantes no requerían que la víctima entregara su contraseña de manera directa. Utilizaban una variante de phishing conocida como engaño por código de dispositivo: al usuario a ingresar un código de autenticación en la página legítima de inicio de sesión de Microsoft, lo que sin su conocimiento una sesión controlada por el tercero. Esta vía tenía una consecuencia práctica relevante, dado que el simple cambio de clave podía no alcanzar para interrumpir el acceso, ya que también era necesario revocar las sesiones activas y los tokens asociados.

Modalidades de engaño y modelo de negocio

Los correos trampa empleaban distintas temáticas para captar la atención de las víctimas. Microsoft Security identificó cuarenta y cuatro señuelos diferentes, entre los cuales se encontraban ofertas de construcción, propuestas de asociación comercial, avisos de vencimiento de contraseñas y solicitudes de propuestas de servicios. La plataforma se comercializaba a través de Telegram, con un pago inicial de mil quinientos dólares y una cuota mensual de quinientos dólares, e incluía soporte al cliente y paneles de gestión para los suscriptores.

Recomendaciones oficiales y alcance de la operación

Desde Microsoft recomendaron a las organizaciones afectadas desactivar la opción de autenticación por código de dispositivo cuando fuera posible y adoptar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys. La operación para desarticular a EvilTokens contempló el bloqueo de la infraestructura utilizada por el servicio y la realización de dos arrestos en la ciudad de Londres, según informó la propia compañía en su comunicado oficial. Para consultas o reportes adicionales, la empresa puso a disposición su centro de seguridad en línea a través del portal de Microsoft Security.