Cuentas de mail en la picadora de carne: cómo una IA transformaba correos robados en el gancho perfecto para una estafa

¿A vos te llegó alguna vez un mail del proveedor pidiendo que le cambies el CBU a último momento? Tranqui, no sos vos: es un nuevo servicio de estafa con inteligencia artificial. Se llamaba EvilTokens y Microsoft acaba de tirarle abajo la infraestructura. Afectó a más de 12.000 cuentas en más de 10.000 organizaciones, según reportó la propia compañía.

¿Qué hacía exactamente esta cosa?

Imaginate que un pibe del pueblo entra a la comisaría y, en vez de pedir una denuncia, se sienta frente al escritorio del oficial y empieza a leerle todas las causas pendientes del pueblo, con nombres y apellidos, facturas sin cobrar y quién le debe a quién. Más o menos eso es lo que hacía la IA: una vez adentro de una casilla de correo, leía los mensajes, los resumía, los traducía y reconstruía las relaciones de confianza de cada empresa. Con ese mapa en la mano, le decía al estafador a quién suplantar y hasta le redactaba el mail fraudulento en un tono que calzaba con la conversación real.

¿Cómo entraban sin la contraseña?

Acá viene lo más fino de la historia. Al atacante no le hacía falta que vos le regalaras tu clave. Te hacían una trampa llamada phishing por código de dispositivo: te pedían que pegaras un numerito en la página legítima de inicio de sesión de Microsoft. Vos, confiado, lo hacías. Y al pegarlo, sin querer estabas autorizando una sesión controlada por el ladrón. Como si en el pueblo le pasaras la llave de tu casa al vecino y él, sin decírtelo, se la prestara a un tercero.

Lo más jodido: cambiar la contraseña después no te salvaba. Microsoft aclaró que también había que revocar las sesiones activas y los famosos tokens, que son esos permisos digitales que mantienen tu cuenta logueada aunque cierres la pestaña. La compañía recomendó directamente desactivar la autenticación por código de dispositivo y pasarse a métodos más duros, como llaves de seguridad FIDO2 o las passkeys, que son credenciales guardadas en tu propio celular o computadora.

Los cebos y los rubros más golpeados

• Ofertas de construcción y propuestas de asociación comercial.
• Avisos de vencimiento de contraseñas y solicitudes de cotización.
• 44 señuelos distintos detectados por Microsoft Security.
• Sectores más afectados: distribución mayorista, construcción y servicios financieros.
• También alcanzaron a salud, educación superior e inmobiliarias.

El precio del combo y la mano que llegó

EvilTokens no era gratis, ni mucho menos. Se vendía por Telegram con una entrada de 1.500 dólares y una cuota mensual de 500 verdes. Incluía soporte al cliente y paneles de gestión, como cualquier servicio pago de los que usamos todos los días. La operación, según contó Microsoft, desactivó parte de la infraestructura del servicio y dejó dos arrestos en Londres. Menos mal.

Mientras tanto, seguimos esperando la fibra.