Microsoft ha liderado una operación conjunta para desmantelar EvilTokens, una plataforma de estafas basada en un modelo de suscripción que utilizaba un chatbot de inteligencia artificial para optimizar el compromiso de cuentas. Según los datos revelados el martes 22 de septiembre de 2026, el servicio permitía a los ciberdelincuentes acceder y analizar buzones de correo electrónico a gran escala, facilitando fraudes financieros mediante la suplantación de identidad corporativa.
Modelo de negocio y funcionamiento de EvilTokens
La plataforma EvilTokens se lanzó originalmente en febrero a través de un canal de Telegram. El modelo de negocio consistía en un pago inicial de 1.500 dólares, seguido de una cuota mensual recurrente de 500 dólares. A cambio, los usuarios obtenían acceso a una herramienta integral que simplificaba casi todas las etapas necesarias para comprometer cuentas de correo electrónico de forma masiva, desde la fase de intrusión hasta la ejecución del fraude final.
El núcleo operativo de EvilTokens era un chatbot de inteligencia artificial capaz de procesar y analizar hasta 5.000 correos electrónicos comprometidos de forma simultánea. Esta capacidad permitía a los atacantes identificar rápidamente a los empleados con autoridad para realizar transferencias de dinero, comprender la jerarquía organizativa y detectar relaciones de confianza con proveedores o clientes. El sistema no solo analizaba la información, sino que recomendaba estrategias de fraude específicas y redactaba borradores de mensajes personalizados para engañar a las víctimas, imitando el tono y el estilo de contactos conocidos.
Alcance global y sectores afectados
El impacto de la plataforma alcanzó a 12.000 cuentas pertenecientes a 10.000 organizaciones en todo el mundo. Estados Unidos registró la mayor concentración de víctimas, seguido de Canadá, el Reino Unido, Australia, India y Francia. Los sectores más afectados incluyeron la distribución mayorista, la construcción, los servicios financieros, el sector inmobiliario, la educación superior y la sanidad.
Método de intrusión mediante OAuth y Microsoft Entra
Para lograr el acceso a las cuentas, EvilTokens explotaba un proceso legítimo de OAuth denominado autenticación de código de dispositivo (device code authentication). Este mecanismo está diseñado originalmente para dispositivos con interfaces limitadas, como televisores inteligentes o consolas, que no permiten la introducción tradicional de credenciales. En este flujo de trabajo, el dispositivo solicita al usuario que ingrese un código en un navegador en otro equipo para validar la sesión.
Los operadores de EvilTokens automatizaban el envío masivo de spam. Cuando un usuario hacía clic en un enlace o archivo adjunto malicioso, era redirigido a una página web que ejecutaba un script de automatización oculto. Este script interactuaba en tiempo real con el proveedor de identidad de Microsoft, concretamente con Microsoft Entra, para generar un código de dispositivo vinculado a un equipo controlado por el atacante. El usuario veía entonces el código y las instrucciones para introducirlo en el portal oficial de inicio de sesión de Microsoft, validando sin saberlo el acceso del ciberdelincuente a su cuenta.
La infraestructura técnica de la plataforma utilizaba Node.js para gestionar la lógica del backend, lo que permitía evadir los sistemas de detección basados en firmas o patrones tradicionales. El proceso estaba totalmente integrado, abarcando desde la generación dinámica de códigos de dispositivo hasta las actividades posteriores al compromiso de la cuenta, gestionadas a través de un panel de control donde los atacantes podían ajustar los engaños según el perfil de la organización objetivo.
Operación de desmantelamiento y detenciones
La operación de desmantelamiento contó con la colaboración de la firma de seguridad SpyCloud y el uso de procesos legales para neutralizar la infraestructura. Como resultado, Microsoft logró incautar 50 sitios web y otros 150 dominios vinculados a la operación de EvilTokens. En el ámbito judicial, el Servicio de Policía Metropolitana del Reino Unido ha procedido al arresto de dos hombres bajo sospecha de estar vinculados a la gestión de esta plataforma criminal.
Impacto de la IA en la velocidad del fraude
Este caso marca un cambio crítico en la metodología de los ataques de compromiso de cuentas. Tradicionalmente, una vez que un atacante accedía a un buzón de correo, debía dedicar días o semanas a analizar manualmente miles de mensajes para reconstruir el organigrama de la empresa, identificar proveedores y comprender los flujos de pago. La integración de la IA en EvilTokens redujo este tiempo a cuestión de minutos, permitiendo que la fase posterior al compromiso fuera casi instantánea y mucho más precisa.
La velocidad de análisis proporcionada por la IA significa que, en el momento en que una cuenta es vulnerada, el atacante puede comprender la totalidad del contexto operativo de la víctima casi inmediatamente. Esto incrementa drásticamente la tasa de éxito de los ataques de ingeniería social, ya que los mensajes de fraude son extremadamente realistas y se basan en datos actuales extraídos del propio buzón de la víctima.
En comparación con los métodos de phishing convencionales, donde el atacante lanza una red amplia esperando que alguien muerda el anzuelo con un mensaje genérico, EvilTokens permitía una micro-segmentación quirúrgica. El uso de la IA para analizar 5.000 correos a la vez transformó el proceso de recolección de inteligencia (OSINT interno) en un proceso automatizado. Mientras que antes el cuello de botella era la capacidad humana de lectura y síntesis, ahora el límite es la capacidad de procesamiento de tokens del modelo de IA utilizado por la plataforma.
Riesgos de la autenticación oficial y consecuencias organizativas
La vulnerabilidad explotada en el flujo de OAuth es particularmente peligrosa porque no requiere que el usuario entregue su contraseña en una página falsa, sino que el usuario interactúa con el portal oficial de Microsoft. Esto anula la eficacia de las advertencias tradicionales sobre la verificación de la URL del sitio de inicio de sesión, ya que el usuario está, efectivamente, en el dominio correcto de Microsoft, pero autorizando un dispositivo que no le pertenece.
Las consecuencias para las organizaciones afectadas son profundas. No se trata solo de la pérdida de acceso a una cuenta, sino de la exposición de la red de confianza de la empresa. Al analizar los hilos de conversación, EvilTokens permitía a los criminales identificar quién aprueba los pagos, quién es el contacto financiero en una empresa proveedora y cuál es el lenguaje técnico o formal utilizado en las transacciones. Esto convierte el compromiso de una sola cuenta en una llave maestra para ejecutar fraudes de Factura Falsa o Business Email Compromise (BEC) con una tasa de éxito muy superior a la media.
Hechos confirmados e incertidumbres técnicas
En cuanto a lo que se sabe y lo que permanece en la incertidumbre, está confirmado que la infraestructura ha sido neutralizada mediante la incautación de 200 activos web (sitios y dominios) y que el modelo de negocio era una suscripción cerrada vía Telegram. También se ha confirmado la implicación de Microsoft Entra como el proveedor de identidad manipulado. Sin embargo, no se ha revelado la identidad exacta del modelo de lenguaje (LLM) que alimentaba el chatbot de EvilTokens, ni si se trataba de un modelo comercial mediante API o una implementación de código abierto ajustada mediante fine-tuning para el análisis de correos electrónicos.
Tampoco se ha detallado el volumen total de fondos defraudados a través de esta plataforma, aunque la escala de 12.000 cuentas comprometidas sugiere un impacto financiero significativo. Asimismo, aunque hay dos detenidos en el Reino Unido, no se ha confirmado si estos eran los desarrolladores principales de la IA o simplemente administradores de la infraestructura de distribución.
Recomendaciones de seguridad y evolución del cibercrimen
Ante esta nueva amenaza, Microsoft advierte que las organizaciones deben asumir que, si un buzón es comprometido, el contenido será analizado por criminales en minutos. La compañía enfatiza que, aunque las protecciones de identidad y la monitorización son esenciales, no son suficientes por sí solas. Se recomienda implementar procesos de verificación independientes a través de canales secundarios y confiables para cualquier solicitud de cambio en la información de pago, redirección de fondos o aprobación de transacciones inusuales.
La neutralización de EvilTokens pone de relieve cómo las herramientas de IA generativa están siendo adaptadas para escalar el cibercrimen, transformando ataques que antes requerían un esfuerzo manual intensivo en servicios automatizados y accesibles mediante suscripción. La capacidad de procesar volúmenes masivos de datos no estructurados para extraer conclusiones accionables es la ventaja competitiva que estas plataformas ofrecen a los actores maliciosos, obligando a las empresas a repensar la seguridad más allá de la autenticación técnica.
