La estafa que leía tu mail y escribía como tu contador: Microsoft desarticuló a EvilTokens

A mí me criaron diciéndome que nadie regala nada. Y esta historia lo confirma con creces. Imaginate esto: alguien entra a tu casilla de mail, la revisa con paciencia, busca una factura por pagar, identifica quién la autorizó y, después, se hace pasar por esa persona para pedirte una transferencia. Pero el truco ya no lo hace un humano con un manual bajo el brazo: lo hace una inteligencia artificial. Así operaba EvilTokens, la plataforma que Microsoft acaba de desarticular y que dejó al descubierto una nueva camada de fraude corporativo, esa que ya no necesita escribir mal ni improvisar: lee, entiende y conversa como si fuera uno de los tuyos.

El robo silencioso que no se va con cambiar la clave

Acá viene lo grueso. Para entrar a las cuentas, los atacantes no apuntaban a adivinar tu contraseña. El truco era otro. Mandaban un mensaje pidiéndote que ingreses un código de autenticación en la página real de Microsoft, la original, sin trampas visibles. Vos creías estar confirmando un inicio de sesión propio y, sin saberlo, le estabas abriendo la puerta al visitante equivocado. Y hay más: aunque cambiaras la clave al día siguiente, el acceso podía seguir abierto. Microsoft lo explicó con claridad: también había que revocar las sesiones y los tokens asociados. Si no, la puerta quedaba abierta igual.

44 anzuelos y una IA que escribía como tu proveedor

Lo que más llama la atención es el nivel de manual de fineza. Microsoft Security detectó 44 señuelos distintos circulando en estas campañas: ofertas de construcción, propuestas de sociedad, avisos de que se vencía tu contraseña y hasta pedidos de cotización, los famosos RFP, que en cualquier empresa mueven plata. Los blancos principales fueron mayoristas, constructoras y firmas de servicios financieros, aunque también cayeron centros de salud, universidades y empresas inmobiliarias. La inteligencia artificial hacía el resto: resumía correos, los traducía, detectaba pagos pendientes y armaba un mensaje fraudulento que calzaba perfecto en la conversación real. No era un mail genérico tipo príncipe de Nigeria: era un pedido de transferencia que parecía venir de tu propio jefe.

• La herramienta se vendía por Telegram con un pago inicial de 1.500 dólares y una cuota mensual de 500 dólares, con soporte y paneles de gestión incluidos.
• La intervención dejó dos detenidos en Londres y la infraestructura del servicio desactivada, según Microsoft.
• Microsoft recomienda bloquear el ingreso por código de dispositivo y pasarse a métodos más firmes como las llaves FIDO2 o las passkeys, que no caen en estos engaños.
• La IA intervenía sobre los mensajes robados: localizaba intercambios sobre transferencias y reconstruía las relaciones de confianza dentro de cada empresa.
• Cambiar la contraseña no alcanzaba: había que revocar sesiones y tokens para cortar el acceso de verdad.

Voy a serles franco: este caso me deja una sensación rara. No es una estafa de esas que avisan al usuario con un mail escrito con mil errores y un link que canta a la legua. Acá la amenaza se mimetiza con tu vida laboral cotidiana. Por eso la recomendación práctica es concreta y no admite pereza: activar autenticación resistente al phishing, revisar sesiones activas y desconfiar, siempre, de cualquier pedido de pago que llegue por mail, por más que venga firmado por alguien conocido. En estos temas, la confianza ciega es la peor defensora. Y si Microsoft pudo desactivar la red, la próxima puede estar aprendiendo del mismo manual. Estemos atentos.