La fábrica de mails truchos que se manejaba con IA: así caía la trampa de Microsoft a más de 12.000 cuentas

¿Te llegó alguna vez un mail del jefe pidiéndote una transferencia urgente y por poco caés? Ese tipo de engaño dejó de ser artesanal. La plataforma EvilTokens, detectada y desarticulada por Microsoft, lo había convertido en un servicio casi a medida: alguien pagaba 1.500 dólares y, después, 500 por mes, y recibía herramientas con inteligencia artificial para entrar a casillas de correo y escribir mensajes fraudulentos que parecieran escritos por la propia víctima. La cifra que dejó el operativo es fuerte: 12.000 cuentas comprometidas y más de 10.000 organizaciones afectadas. El caso se conoce ahora porque Microsoft publicó el detalle técnico, junto con dos arrestos en Londres.

Qué hacía la IA dentro del correo ajeno

Lo más delicado del asunto no era tanto robar la cuenta como exprimirla. Una vez adentro, EvilTokens no se limitaba a leer. Las herramientas repasaban la bandeja, traducían mensajes si hacía falta, buscaban pagos pendientes, identificaban quién firmaba las órdenes de transferencia y reconstruían el mapa de confianza de cada empresa. Después, con todo ese material, sugerían a quién suplantar y ayudaban a redactar el mail fraudulento siguiendo el tono real de la conversación. Es, traducida a la diaria, la diferencia entre recibir un mensaje genérico tipo 'estimado proveedor' y uno que sigue el hilo de una factura que viene manejándose desde hace semanas. Esa imitación fina es la que vuelve a la estafa mucho más creíble y, por lo tanto, más peligrosa.

Microsoft señaló que el mecanismo de entrada no dependía de que la víctima entregara su contraseña. Se usaba un truco llamado phishing de código de dispositivo: aparecía una pantalla legítima de inicio de sesión de Microsoft pidiendo un código de autenticación, y al ingresarlo la persona autorizaba una sesión controlada por el atacante, sin advertirlo. Piensen en una llave que uno abre pensando que es la puerta de su casa, pero termina abriendo una puerta gemela del vecino. El problema, además, es que una vez concedido ese permiso, cambiar la contraseña no corta el acceso: hay que revocar también las sesiones abiertas y los tokens asociados, algo que la mayoría de los usuarios no suele hacer porque no sabe que existe.

• Más de 12.000 cuentas de correo comprometidas y 10.000 organizaciones afectadas, según Microsoft Security.
• El kit se vendía en Telegram: pago inicial de 1.500 dólares y suscripción mensual de 500 dólares.
• Se detectaron 44 tipos de mensajes de engaño, entre ellos ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseña y pedidos de propuesta.
• Los sectores más golpeados fueron distribución mayorista, construcción y servicios financieros; también hubo casos en salud, educación superior e inmobiliarias.
• La operación desactivó la infraestructura del servicio y derivó en dos arrestos en Londres.

Qué cambia para el lector común

Dejo la pregunta obvia: ¿alcanza con tener cuidado? Sí, pero hay que ser un poco más minucioso. Microsoft recomienda, cuando sea posible, desactivar la opción de autenticación por código de dispositivo y utilizar métodos resistentes al phishing, como llaves de seguridad FIDO2 o passkeys, esas credenciales digitales que viven en el celular y se activan con biometría. Para el usuario cotidiano, la traducción práctica es simple: desconfiar de cualquier mail que pida un código de verificación aunque parezca llegar de un sitio confiable, recordar que cambiar la clave no siempre cierra la puerta, y activar la verificación en dos pasos con app o llave física en lugar de con SMS. La parte irónica es que la misma inteligencia artificial que usan para engañar también sirve para detectarlos: los sistemas de defensa de los grandes proveedores ya marcan este tipo de patrones de conversación manipulada. Lo que sigue siendo trabajo nuestro es frenar un instante antes de hacer clic.