Microsoft anunció la desactivación de EvilTokens, una plataforma de phishing como servicio que usaba inteligencia artificial en casi toda la cadena del ataque: desde el acceso a cuentas de correo hasta el análisis de bandejas de entrada y la preparación de fraudes financieros.
Según la compañía, el servicio surgió en febrero de 2026 y en pocos meses se vinculó a más de 12,000 buzones comprometidos en más de 10,000 organizaciones. Los mayores focos de actividad se observaron en Estados Unidos, Canadá, Reino Unido, Australia, India y Francia, con afectados en sectores como finanzas, construcción, educación y salud.
EvilTokens abusaba del flujo de autenticación por código de dispositivo: engañaba a la víctima para que autorizara un código en la página legítima de inicio de sesión y así entregaba tokens de acceso sin revelar la contraseña. Ese acceso podía persistir incluso tras un cambio de clave si no se revocaban las sesiones asociadas.
El núcleo del servicio era un chatbot con IA capaz de resumir y traducir correos, mapear roles, localizar conversaciones de pagos y recomendar a quién suplantar. Ofrecía 44 temas de señuelos y se vendía por Telegram con una cuota inicial de 1,500 dólares y una suscripción mensual de 500 dólares.
Con autorización judicial en Estados Unidos, Microsoft y socios decomisaron 50 sitios usados para operar el servicio y deshabilitaron más de 150 dominios de apoyo. En el Reino Unido, la Policía Metropolitana detuvo a dos hombres de 32 y 38 años vinculados a la investigación; ambos quedaron en libertad bajo fianza condicionada.
En la operación participaron, entre otros, Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs. Microsoft lo presentó como la acción número 40 de su Digital Crimes Unit con orden judicial y la primera contra un servicio de ciberdelito impulsado de punta a punta por IA.
(Fuentes: Microsoft Digital Crimes Unit, Microsoft Security Blog, SecurityWeek, The Record; cobertura 22–23 sep 2026.)
Deja un comentario