Una plataforma usaba inteligencia artificial para fabricar estafas convincentes a partir de correos robados: cómo operaba

Imaginate abrir la casilla del trabajo y encontrar un mail del proveedor de siempre pidiendo un cambio de cuenta para pagar la factura. El mensaje está bien escrito, el tono es el de siempre, hasta los detalles internos coinciden. Parece real. Pero no lo es. Lo escribió una inteligencia artificial que primero entró a tu propia cuenta, leyó todo y después fabricó el engaño a tu medida.

Esa es, en pocas palabras, la movida que desarticuló Microsoft. Se llamaba EvilTokens y, según la propia compañía, se metió en más de 12.000 cuentas de correo de unas 10.000 organizaciones. La mayoría de ellas eran empresas de distribución mayorista, de la construcción y del mundo financiero. Pero también cayeron centros de salud, universidades y firmas inmobiliarias.

Qué hacía la IA con los correos robados

La plataforma no se conformaba con entrar a una casilla y leer. Hacía trabajar a la información. Resumía mails, los traducía, rastreaba pagos pendientes, identificaba quién firmaba cada autorización y mapeaba las relaciones de confianza adentro de cada organización. Con ese mapa en la mano, el sistema proponía qué identidad suplantar y ayudaba a redactar mensajes falsos que calzaban con conversaciones reales.

Juan Navarro, becario de ciberseguridad que sigue el caso, lo resume así: "Es como si un ladrón entrara a tu oficina, leyera toda la correspondencia, y después se sentara a tu escritorio a escribir cartas falsas en tu nombre, pero con tu propia lapicera y tu propio tono".

Cómo entraban sin pedirte la contraseña

Acá viene uno de los puntos más sensibles para cualquier usuario. Los atacantes no te pedían la clave. Te pedían otra cosa: que ingreses un código de autenticación en la página legítima de inicio de sesión de Microsoft. Ese trámite, conocido como phishing por código de dispositivo, hace que la víctima termine autorizando sin saberlo una sesión controlada por el atacante.

El truco tiene una consecuencia práctica clave: cambiar la contraseña no necessarily corta el acceso. También hay que revocar las sesiones abiertas y los tokens asociados. Microsoft recomienda, siempre que se pueda, bloquear la autenticación por código de dispositivo y pasar a métodos más robustos, como las llaves de seguridad FIDO2 o las passkeys.

• No ingresar códigos de autenticación recibidos por mail o por chat en páginas a las que se llega desde un enlace sospechoso.
• Revisar y cerrar sesiones activas además de cambiar la contraseña, si la casilla fue comprometida.
• Adoptar passkeys o llaves de seguridad FIDO2, que no son vulnerables a este tipo de engaño.
• Desconfiar de mensajes sobre cambios de CBU, facturas urgentes o renovaciones de clave, incluso si vienen de contactos conocidos.

La trastienda del negocio

EvilTokens no era una herramienta escondida en un sótano. Se vendía por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500. La suscripción incluía soporte al cliente y paneles de gestión para administrar víctimas y campañas. La operación de Microsoft desactivó la infraestructura del servicio y dejó dos detenidos en Londres.

¿Y eso para qué sirve? Para entender que la próxima vez que recibas un mail con cambio de datos bancarios o una factura sospechosa, no alcanza con mirar si el remitente parece serio. Hay que chequear el contexto, llamar por un canal distinto y, sobre todo, no aprobar ningún código de acceso a mano si no iniciaste vos la sesión.