Cayeron los ladrones con esteroides digitales: así operaba la IA que vaciaba casillas de mail y tendía trampas perfectas

Me llegó un mail del proveedor de siempre, con su tono habitual, su firma, hasta con el recuerdo de la última factura. Casi le contesto. Por suerte era raro: me pedía que apretara un link para no perder un pago. Lo dejé estar. Ahora entiendo que estuve a un click de caer en la última versión del fraude, esa que ya no depende de un hacker copiando un mensaje a mano, sino de una inteligencia artificial que lee toda tu casilla y escribe la próxima estafa con tu propio vocabulario.

Microsoft acaba de anunciar el desmantelamiento de EvilTokens, una plataforma pensada para automatizar estafas mediante correos electrónicos corporativos. Según la compañía, afectó a más de 12.000 cuentas en más de 10.000 organizaciones, sobre todo empresas de distribución mayorista, construcción y servicios financieros, aunque también salpicó a sanatorios, universidades e inmobiliarias.

Qué hacía la IA con los correos robados

• Leía los mensajes de cada casilla comprometida y los resumía, como si fuera un asistente doméstico que ordena la correspondencia del lunes.
• Detectaba conversaciones donde se hablaba de pagos pendientes o transferencias en curso.
• Identificaba a los contactos de confianza de cada empresa: el proveedor, el jefe, el Estudio contable.
• Sugería a quién había que suplantar y ayudaba a redactar el mail trucho imitando el estilo y el tono de esa persona.

El resultado era un mensaje fraudulento prácticamente calcado de la conversación real. No más errores obvios de ortografía ni propuestas descolgadas: el engaño estaba hecho a medida de cada oficina.

Cómo entraban sin pedir la contraseña

El truco se llama phishing por código de dispositivo, y vale la pena entenderlo. La víctima creía estar iniciando sesión en la página legítima de Microsoft. Le pedían ingresar un código de autenticación como cuando uno confirma una transferencia en la app del banco. Lo escribía, daba aceptar y, sin saberlo, le había abierto la puerta al atacante. Traducido al barrio: era como si un desconocido te pidiera el PIN del tarjeta creyendo que lo usaba para cobrar un premio, y vos se lo dabas pensando que era el cajero del supermercado.

Y acá viene lo peor: cambiar la contraseña no cortaba el problema. Microsoft explicó que había que revocar además los tokens (vamos a llamarlos, para entendernos, los "permisos digitales" que la plataforma guarda de cada sesión activa) y cerrar todas las sesiones abiertas. Quien sólo cambiaba la clave sentía que había hecho lo correcto, pero dejaba la puerta trasera abierta de par en par.

Cómo se vendía y cómo cayó

EvilTokens se comercializaba por Telegram con una suscripción de 1.500 dólares de entrada y 500 mensuales. Incluía atención al cliente y un panel de gestión, como cualquier servicio legal pero del lado oscuro de la ciudad. La operación terminó con la infraestructura desactivada y dos detenidos en Londres. Microsoft identificó además 44 cebos distintos usados en las campañas: propuestas de obra, sociedades comerciales, avisos de vencimiento de contraseña y pedidos de cotización, entre otros.

Qué hacer, en concreto, mañana a la mañana

• Activá, si tu empresa lo permite, llaves de seguridad FIDO2 o passkeys: son métodos de login que resisten este tipo de engaño porque la trampa ocurre en otra pantalla.
• Desactivá en lo posible la opción de iniciar sesión con un código de dispositivo enviado por mail.
• Revisá y revocá sesiones activas y tokens asociados de tu cuenta de Microsoft, no sólo la contraseña.
• Capacitá al equipo: nadie debería aprobar un pago guiado por un mail, sin una llamada previa al número que ya tenés agendado, no al que figura en el mensaje.

Les confieso algo: cada vez que leo una nota sobre estas plataformas pienso en cuántos lectores míos recibieron ayer un correo con tono apurado pidiendo una transferencia. Si alguno lo mandó sin chequear dos veces, tiene en este aviso una razón para revisar su casilla, revocar sesiones y, sobre todo, llamar por teléfono a quien dice ser el remitente. La tecnología no afloja las estafas: las escala. Y la única defensa que crece a la misma velocidad es la costumbre de desconfiar antes de apretar enviar.