¿Te pasó alguna vez de recibir un mail de tu jefe pidiéndote una transferencia urgente y que parecía recontra real? Bueno, hay una posibilidad inquietante: que la IA haya leído todos los mails de tu empresa y haya redactado ese mensaje imitando el tono y los contactos de tu jefe. Eso, justamente, era lo que hacía EvilTokens.

Microsoft acaba de desactivar esta plataforma que se promocionaba por Telegram y que cobraba 1.500 dólares de entrada más 500 por mes, con soporte y panel de gestión incluidos. Como si fuera un servicio legal, pero estaba al servicio del fraude.

Cómo entraban sin pedirte la contraseña

El truco es lo que los especialistas llaman phishing por código de dispositivo. Te hacen ingresar a la página real de Microsoft y te piden un código de autenticación. Vos pensás que es un paso de seguridad más, pero en realidad lo que estás haciendo es autorizar una sesión en manos del atacante. Cambiar la contraseña después no siempre alcanza: hay que revocar sesiones y tokens.

Una vez adentro, la inteligencia artificial se ponía a trabajar sobre los mails robados. Resumía conversaciones, buscaba pagos pendientes, identificaba quién tenía autoridad para aprobar una transferencia y armaba un mensaje fraudulento que calzaba perfecto en el hilo de mails de la empresa. No era un mail genérico: era un mensaje hecho a medida, con el tono y los datos reales de tu propia oficina.

• Detectaba intercambios sobre transferencias y pagos pendientes dentro de cada casilla.
• Reconstruía las relaciones de confianza: quién le habla a quién, quién autoriza qué.
• Sugería a quién suplantar y redactaba el correo fraudulento con datos reales.

El anzuelo y los sectores golpeados

Microsoft identificó 44 señuelos distintos. Los más repetidos: ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseña y solicitudes de propuesta. La distribución mayorista, la construcción y los servicios financieros fueron los rubros más afectados, aunque también salpicó a salud, educación superior e inmobiliarias. En total, más de 12.000 cuentas comprometidas en más de 10.000 organizaciones.

Piensenlo como un ladrón que entra a tu oficina, revuelve los papeles sobre el escritorio, se fija quién le paga a quién y después le manda un mail al área de pagos pidiendo una transferencia a una cuenta nueva. La diferencia es que acá el ladrón no era una persona, sino un sistema automatizado.

Qué hacer para no caer

• Bloquear la autenticación por código de dispositivo cuando se pueda.
• Usar llaves de seguridad FIDO2 o passkeys, que son resistentes a phishing.
• Revisar las sesiones activas y revocarlas si algo raro aparece.

La operación, que terminó con infraestructura desactivada y dos arrestos en Londres, es un recordatorio de que el fraude corporativo ya no es un mail genérico mal escrito desde un lugar lejano. Hoy se fabrica con IA a partir de tu propia historia. Si te sirve, probalo: activá passkeys o una llave física y bloqueá los códigos por dispositivo. Es la diferencia entre que te roben la cuenta o que la cuenta se cierre en la cara del atacante.