Cayeron los artesanos del correo trucho: una plataforma usaba IA para estafar empresas y Microsoft la desactivó

¿Te llegó un correo del proveedor pidiendo que cambies el CBU para pagar la próxima factura? Pará un segundo antes de responder. Esa maniobra, cada vez más común, tenía una fábrica entera dedicada a producirla con ayuda de inteligencia artificial. Microsoft acaba de desarticular una plataforma llamada EvilTokens que hacía exactamente eso: robar cuentas de correo, leerlas a fondo y preparar estafas a medida.

La promesa del servicio era simple para el estafador y peligrosa para cualquiera que use el correo corporativo: una vez adentro de una casilla, la IA hacía el trabajo fino. Analizaba mensajes, identificaba facturas pendientes, reconocía quién autorizaba pagos dentro de una empresa y hasta traducía conversaciones para armar mensajes creíbles. Como si un estafador entrara a tu oficina, abriera los expedientes sobre tu escritorio y escribiera la carta engañosa imitando tu letra.

Cómo entraban sin pedirte la contraseña

El truco para meterse en las cuentas no pasaba por adivinar claves. Usaban lo que se conoce como phishing por código de dispositivo: le mostraban a la víctima una página legítima de inicio de sesión de Microsoft y la convencían de pegar allí un código de verificación. Al hacerlo, la persona autorizaba sin saberlo el ingreso del atacante. Después, ese acceso podía sobrevivir incluso al cambio de contraseña, porque quedaba atado a tokens de sesión que también hay que revocar.

• Microsoft detectó más de 12.000 cuentas comprometidas en más de 10.000 organizaciones.
• Los cebos más usados fueron ofertas de construcción, propuestas de partnership, avisos de vencimiento de clave y pedidos de cotización: 44 señuelos distintos en total.
• Los sectores más golpeados fueron distribución mayorista, construcción y servicios financieros, aunque también salpicaron a salud, universidades e inmobiliarias.

El negocio detrás del engaño

EvilTokens no era gratis ni mucho menos. Se vendía por Telegram con una entrada de 1.500 dólares y una cuota mensual de 500, con panel de gestión y soporte incluido. Un servicio con atención al cliente, pero para delinquir. La operación que lo desactivó terminó con infraestructura fuera de servicio y dos arrestos en Londres.

Qué conviene hacer en tu empresa

Microsoft recomienda desactivar la opción de autenticación por código de dispositivo cuando se pueda y migrar a métodos que resistan phishing, como las llaves de seguridad FIDO2 o las passkeys. En criollo: si tu banco o tu empresa te dejan loguearte con la llave física o con la huella del celular, dejá de usar el código por SMS o el que te llega al mail. Y ante cualquier cambio de datos de pago, confirmá por teléfono con la otra parte antes de mover un peso.

Si te sirve, probalo. Antes del próximo lunes, revisá qué método de verificación tenés activado en tu casilla de trabajo. Es cinco minutos que pueden ahorrarte un disgusto de los grandes.