¿Te mandaron un mail del jefe pidiendo una transferencia urgente? Ahora la IA redacta el engaño perfecto

¿A vos también te llegó un mail del jefe pidiendo una transferencia urgente? Sentate, porque la respuesta corta es: ya no hace falta que un estafador redactor copy paste a las apuradas. Hay servicios pagos que hacen el trabajo sucio con inteligencia artificial. Y esta semana Microsoft le bajó la persiana a uno de los más prolijos.

La plataforma se llama EvilTokens y operaba como una especie de agencia del delito con suscripción mensual. Analizaba los mails de cuentas ya hackeadas para detectar facturas pendientes, identificar a quién autorizar un pago y armar mensajes fraudulentos que parecieran parte de la conversación real de la empresa.

¿Cómo entraban a tu casilla sin pedirte la clave?

Acá viene lo más jugoso: a las víctimas no les robaban la contraseña directamente. Les hacían una trampa conocida como phishing por código de dispositivo. La secuencia es casi una obra de teatro. Te convencen de entrar a la página legítima de inicio de sesión de Microsoft y te piden que pegues un código de autenticación que ellos mismos te facilitaron. Al hacerlo, sin querer, terminás autorizando una sesión controlada por el atacante. Es como si alguien te pidiera que firme la entrada a tu propia casa, confundido por la amabilidad del portero.

Y hay un detalle que complica todo: cambiar la contraseña no cortaba el acceso. Había que revocar manualmente las sesiones y los tokens asociados. Para una pyme salteña que maneja su mail desde el celular del dueño, eso es básicamente un dolor de cabeza silencioso que sigue activo aunque creas haber resuelto el problema.

¿Cuánta plata y cuánta gente quedó expuesta?

Microsoft informó que EvilTokens comprometió más de 12.000 cuentas en más de 10.000 organizaciones. El negocio tenía precios claros: 1.500 dólares de entrada y 500 dólares por mes, con soporte al cliente y paneles de gestión incluidos. Se comercializaba por Telegram. Nada de marketplaces oscuros escondidos en la dark web. Un canal de chat como cualquier grupo de compras entre vecinos.

• Los principales blancos eran empresas de distribución mayorista, construcción y servicios financieros.
• También cayeron organizaciones de salud, educación superior y del sector inmobiliario.
• Microsoft detectó 44 señuelos distintos, entre ellos ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseña y solicitudes de propuestas.
• Las herramientas de IA resumían y traducían correos, localizaban intercambios sobre transferencias y reconstruían las relaciones de confianza dentro de cada empresa.

¿Qué hacer entonces con la MFA y los códigos por mail?

La recomendación de Microsoft es directa: bloquear la autenticación por código de dispositivo cuando se pueda y migrar a métodos resistentes al phishing, como llaves de seguridad FIDO2 (un llavero físico que se conecta a la compu, por ejemplo una YubiKey) o passkeys (credenciales digitales guardadas en el celular o la laptop, sin contraseñas). La diferencia con un código enviado por mail o SMS es que estos últimos pueden ser capturados en tiempo real por el atacante, mientras que las passkeys o llaves físicas requieren que el dispositivo esté físicamente presente.

La operación desactivó infraestructura del servicio y dejó dos arrestos en Londres. Buen trabajo del lado de Microsoft y de la justicia británica. Pero el negocio del fraude con IA ya tiene precio, oferta y demanda. Mientras haya gente dispuesta a pagar 500 dólares mensuales por automatizar estafas, habrá otra plataforma lista para ocupar el lugar. Veremos.