Por Canuto  

Microsoft y organismos policiales desmantelaron EvilTokens, un servicio de phishing que utilizaba inteligencia artificial para analizar correos comprometidos y orientar nuevos fraudes.
***

  • La Policía Metropolitana de Londres arrestó el 18 de septiembre a dos presuntos administradores de EvilTokens, de 32 y 38 años.
  • Microsoft incautó 50 sitios web y desactivó más de 150 dominios vinculados con la infraestructura del servicio.
  • Los operadores criminales usaron EvilTokens para comprometer 12.000 bandejas de entrada en más de 10.000 organizaciones.

Una red de phishing con inteligencia artificial

Microsoft y organismos policiales de Reino Unido y Estados Unidos desmantelaron EvilTokens, un servicio de phishing que permitió a delincuentes comprometer miles de cuentas corporativas. La operación incluyó el arresto de dos presuntos administradores en Londres, la incautación de 50 sitios web y la desactivación de más de 150 dominios asociados con la infraestructura de soporte del servicio.

La Policía Metropolitana de Londres arrestó el 18 de septiembre a dos hombres de 32 y 38 años, quienes presuntamente administraban el sitio web de EvilTokens. Ambos quedaron en libertad bajo fianza mientras continúa la investigación, por lo que su responsabilidad penal todavía debe determinarse ante las autoridades correspondientes.

EvilTokens apareció en febrero y, durante los meses siguientes, fue utilizado para comprometer 12.000 bandejas de entrada pertenecientes a más de 10.000 organizaciones en distintas partes del mundo. Entre las entidades afectadas se encontraban organizaciones del sector salud, un factor que llevó a Health-ISAC, una organización sin fines de lucro dedicada al intercambio de información sobre ciberamenazas, a sumarse como coparte demandante en la acción legal.

El servicio se ofrecía bajo un modelo de suscripción, conocido en el ámbito criminal como phishing como servicio. Sus clientes podían utilizarlo para evadir la autenticación multifactor y autenticarse silenciosamente como la víctima en aplicaciones empresariales de Microsoft 365, lo que ampliaba el riesgo de acceso a comunicaciones, contactos y procesos internos.

El papel de la IA en los ataques

La característica más particular de EvilTokens era un chatbot de inteligencia artificial integrado en el kit. Según la información publicada por The Register, esa herramienta podía analizar la bandeja de entrada de una víctima y ayudar a los delincuentes a identificar posibles objetivos, contactos de confianza que podían suplantar y estrategias de fraude orientadas a maximizar sus ganancias.

La automatización reducía el tiempo necesario para convertir un acceso inicial en una campaña de ingeniería social más convincente. En lugar de revisar manualmente grandes volúmenes de mensajes, los operadores podían apoyarse en el sistema para encontrar relaciones comerciales, conversaciones sensibles y señales que facilitaran solicitudes fraudulentas.

Tanmay Ganacharya, vicepresidente de investigación de seguridad de Microsoft, había declarado que desde el 15 de marzo de 2026 la empresa observaba entre 10 y 15 campañas distintas cada 24 horas. Ese ritmo mostraba que EvilTokens no funcionaba como una herramienta aislada, sino como una plataforma capaz de sostener operaciones repetidas contra organizaciones de múltiples sectores.

El caso también expone un cambio en la economía de la ciberdelincuencia: los operadores ya no necesitan construir cada ataque desde cero. Al combinar servicios de phishing, evasión de MFA y asistentes automatizados, pueden ofrecer a otros criminales una infraestructura preparada para escalar el robo de acceso y convertir la información corporativa en nuevas oportunidades de fraude.

La operación internacional

El 15 de septiembre, Microsoft incautó 50 sitios web utilizados para operar EvilTokens después de obtener autorizaciones del Tribunal de Distrito de Estados Unidos para el Distrito Este de Virginia. La empresa ejecutó la acción junto con Health-ISAC y varios socios tecnológicos, mientras las autoridades británicas avanzaban con la investigación y los arrestos en Londres.

En la operación participaron Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs. La coordinación permitió derribar la plataforma principal, cortar dominios de soporte y reunir información útil para localizar cuentas afectadas, infraestructura relacionada y posibles rutas de recuperación.

Microsoft también notificó a los clientes cuyas cuentas habían sido comprometidas y les ofreció apoyo para remediar los accesos. La compañía no presentó la interrupción como una solución definitiva para el problema, porque los operadores y compradores de servicios similares pueden intentar reconstruir sus herramientas en otras infraestructuras.

La acción representa la cuadragésima interrupción autorizada por un tribunal de la Unidad de Crímenes Digitales de Microsoft en casi dos décadas. Steven Masada, abogado general adjunto y director general de esa unidad, afirmó que se trata de la primera intervención del grupo contra un servicio de ciberdelincuencia habilitado por inteligencia artificial de extremo a extremo.

La respuesta de las organizaciones

Serena D’Adamo, inspectora detective cuyo equipo dirigió la investigación del Servicio de Policía Metropolitana, sostuvo que los servicios de phishing generan perjuicios a miles de personas y les quitan dinero a ciudadanos comunes en todo el mundo. También afirmó que el organismo seguirá buscando que respondan ante la justicia quienes facilitan funciones destinadas a habilitar delitos y creen que pueden operar sin ser detectados.

La caída de EvilTokens no elimina el riesgo para las organizaciones que ya sufrieron una intrusión. Una cuenta comprometida puede entregar a los atacantes suficiente contexto para hacerse pasar por proveedores, ejecutivos, socios comerciales o empleados, especialmente cuando los mensajes anteriores contienen instrucciones de pago y datos sobre operaciones en curso.

Steven Masada advirtió que el modelo demostrado por EvilTokens no desaparecerá junto con su infraestructura. Su recomendación para las empresas consiste en asumir que los criminales pueden comprender el contenido de una bandeja de entrada en minutos, no en días, y reforzar tanto la protección de identidad como la supervisión continua de las cuentas.

La recomendación más concreta apunta a verificar por un segundo canal de confianza cualquier solicitud de cambio de información de pago, redirección de fondos o aprobación de transacciones inusuales. Esa medida no sustituye la autenticación multifactor ni la monitorización, pero puede impedir que un atacante convierta el acceso a un correo en una transferencia fraudulenta antes de que el equipo de seguridad detecte la intrusión.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados