La IA ya no solo escribe correos: también escribe la estafa perfecta

Alguna vez el mail trucho se delataba solito: ortografía dudosa, un saludo genérico y un príncipe nigeriano que necesitaba transferencia urgente. Esos tiempos murieron. La nueva generación de fraude se apoya en inteligencia artificial y en cuentas de correo que ya fueron vulneradas, así que el mensaje llega desde una casilla real, con el historial de verdad y hasta con el tono de quien escribe todos los días. La última prueba de eso se llama EvilTokens, una plataforma que Microsoft acaba de desarticular.

La idea detrás de EvilTokens era simple y por eso mismo preocupante: una vez que los atacantes entraban a una casilla de correo corporativa, la inteligencia artificial se ponía a leer. Revisaba mensajes, identificaba facturas pendientes, detectaba quién autorizaba pagos y mapeaba las relaciones de confianza dentro de la empresa. Con ese mapa en la mano, el sistema sugería a quién suplantar y ayudaba a redactar el correo fraudulento, imitando el estilo de las conversaciones reales. Básicamente, hacía el trabajo sucio que antes hacía un estafador paciente con café y varias tardes libres.

Cómo entraban sin pedir la contraseña

Acá viene uno de los puntos más molestos. Los atacantes no necesitaban que la víctima les entregara la clave. Usaban un engaño conocido como phishing por código de dispositivo: le pedían a la persona que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft. Al hacerlo, sin saberlo, autorizaban una sesión controlada por el atacante. Es como si alguien le pidiera a uno que firme un papel en blanco confiado en que es para un trámite menor, y después descubre que lo autorizó a vaciarle la cuenta.

El problema no terminaba ahí. Microsoft explicó que cambiar la contraseña podía no alcanzar para cortar el acceso, porque también había que revocar las sesiones activas y los tokens asociados. Esos tokens son como esos llaveros que entrega el bar y que dejan la puerta abierta un rato: aunque cambies la cerradura, si nos el llavero, cualquiera sigue entrando.

A quién apuntaban y cuánto costaba el servicio

• Las campañas afectaron principalmente a empresas de distribución mayorista, construcción y servicios financieros.
• También alcanzaron a organizaciones de salud, educación superior y del sector inmobiliario.
• Microsoft Security identificó 44 tipos de mensajes de engaño distintos, con propuestas de construcción, avisos de vencimiento de contraseñas y solicitudes de asociación, entre otros.
• La plataforma se comercializaba por Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares, con soporte al cliente y paneles de gestión incluidos.

Qué recomienda Microsoft para no quedar a merced de este tipo de ataques

La compañía sugirió bloquear la autenticación por código de dispositivo cuando sea posible y migrar a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys. En criollo: dejar de depender del código por mail o SMS y pasar a sistemas de verificación que no se puedan engañar con una pantalla trucha. La operación contra EvilTokens incluyó el desactivado de infraestructura del servicio y dos arrestos en Londres, según informó Microsoft.

Mientras leía el informe, no pude evitar sentir un poco de culpa: cuántas veces habré hecho clic en un link de "actualice su contraseña" sin pensar dos veces. Reconozco que más de una. Por eso el consejo va también para mí y para cualquiera que tenga una casilla corporativa: desconfíe de los mensajes que piden acciones urgentes, revise la dirección completa del remitente y, si le piden un código de autenticación que usted no generó, no lo ingrese. Ni aunque venga con el logo perfecto y el tono impecable.