La estafa que escribía sola: cayó EvilTokens, la plataforma que le ponía IA a los correos robados

El otro día se me trabó el mail justo cuando un proveedor me pedía un CBU. Imaginen eso, pero multiplicado por 12.000 cuentas y con alguien del otro lado leyendo cada mensaje como si fuera propio. Eso, en criollo, era EvilTokens: una plataforma que usaba inteligencia artificial para entrar a casillas de correo, rastrear pagos pendientes y armar mails truchos con la misma tonada que usan las empresas en serio. Microsoft anunció que la desarticuló y que, de yapa, hubo dos arrestos en Londres.

Cómo entraban sin pedir la clave

Lo más jugoso del caso es la trampita que usaban para colarse. No iban con un típico robo de contraseña. Le pedían a la víctima que ingresara un código de autenticación en la página legítima de inicio de sesión de Microsoft, la original, sin trampa visible. La persona, convencida de que estaba haciendo un trámite normal, terminaba autorizando una sesión controlada por el atacante. Es como si alguien le pidiera al portero que le abra la puerta para sacar una mudanza y, mientras tanto, le metiera un juego de llaves en el bolsillo.

La consecuencia práctica es de terror: cambiar la contraseña no alcanzaba. Había que revocar las sesiones y los tokens asociados, esos permisos digitales que mantienen la puerta abierta aunque uno haya girado la cerradura. Microsoft recomienda bloquear la autenticación por código de dispositivo y pasarse a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys. Suena a trabalenguas, pero son la diferencia entre un candado común y una cerradura con huella digital.

Qué leían y qué escribían

Una vez adentro, la IA se ponía a trabajar sobre los mensajes robados. Resumía correos, traducía, identificaba transferencias en curso y reconstruía el mapa de confianza de cada empresa: quién le habla a quién, quién autoriza un pago, quién firma un contrato. Con ese material, el sistema sugería a quién suplantar y ayudaba a redactar mensajes fraudulentos basados en conversaciones reales. Traducido a la cocina: si el delivery les manda un mail para confirmar el pedido, EvilTokens podía fabricar uno igualito pero pidiéndoles los datos de la tarjeta.

• Detectaba pagos pendientes en las conversaciones.
• Identificaba contactos de confianza dentro de cada organización.
• Redactaba mails fraudulentos con el tono y los temas de la empresa.
• Sugería a qué identidad convenía suplantar.
• Podía seguir activo incluso después de cambiar la contraseña.

Los cebos y los precios

Para que la víctima mordiera el anzuelo, los mensajes de entrada usaban temas bien terrenales. Microsoft Security identificó 44 señuelos distintos: ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas comerciales. La trampa principal cayó sobre empresas de distribución mayorista, construcción y servicios financieros, aunque también salpicó a salud, educación superior y sector inmobiliario. El servicio se vendía por Telegram, con un pago inicial de 1.500 dólares y una cuota mensual de 500. Incluía soporte al cliente y paneles de gestión, como cualquier software legal. La diferencia es que este te vaciaba la casilla.

La distancia entre Buenos Aires y Londres no impide nada de esto: las casillas son globales y los engaños también. Mi consejo práctico es simple. Si les llega un mail pidiendo que ingresen un código de autenticación, no lo hagan en el momento: salgan del mensaje, entren al sitio a mano y verifiquen. Y, si pueden, activen una passkey o una llave de seguridad. Cuesta unos minutos y le ahorra a uno el disgusto de descubrir que alguien estuvo leyendo sus mails como si fueran suyos.