La IA que leía tu correo y después escribía el mensaje perfecto para vaciarte la cuenta

Lo probé mil veces en mi cabeza y siempre me imagino lo mismo: alguien sentado frente a una pantalla, leyendo los mails que no son suyos, buscando una factura pendiente, un nombre de confianza, una conversación que ya está empezada. Esa es, básicamente, la idea detrás de EvilTokens, una plataforma que Microsoft acaba de desarticular y que usaba inteligencia artificial para fabricar estafas a la medida de cada víctima.

El caso es sencillo de explicar y por eso asusta. Los atacantes entraban a casillas de correo corporativo, dejaban que la IA se ocupara del resto y después cobraban por el servicio. Microsoft habló de más de 12.000 cuentas comprometidas en más de 10.000 organizaciones.

Qué hacía la IA, paso a paso

• Resumía y traducía los correos robados para entender de qué iba cada conversación.
• Detectaba pagos pendientes, facturas por cobrar y contactos clave dentro de cada empresa.
• Reconstruía quién le hablaba a quién y qué nivel de confianza había entre las partes.
• Sugería a qué persona había que suplantar y ayudaba a redactar el mensaje fraudulento, basado en intercambios reales.

El resultado, según Microsoft, eran correos de estafa que parecían escritos por alguien de la propia empresa. No había errores obvios ni pedidos extraños. Continuaban una conversación ya empezada, con el tono y los datos que correspondían.

Ojo con esto: el truco para entrar

Acá viene el punto más importante para el usuario común. Para meterse en la casilla, los atacantes no necesitaban la contraseña. Usaban un engaño conocido como phishing por código de dispositivo: le pedían a la víctima que ingresara un código de autenticación en la página legítima de Microsoft. Al hacerlo, la persona autorizaba sin saberlo una sesión controlada por el atacante.

Y hay un detalle que duele: cambiar la contraseña no siempre alcanzaba. Como el acceso se sostenía en sesiones y tokens ya autorizados, había que revocarlos a mano. Microsoft recomienda, cuando se pueda, desactivar la autenticación por código de dispositivo y pasar a métodos resistentes al phishing, como las llaves de seguridad FIDO2 o las passkeys.

Cómo se vendía el servicio

EvilTokens funcionaba como una herramienta con precio fijo y tarifa mensual. Se comercializaba por Telegram, con un pago inicial de 1.500 dólares y una cuota de 500 dólares por mes. Incluía soporte al cliente y paneles de gestión. Los mensajes de engaño identificados sumaban 44 señuelos distintos: ofertas de construcción, propuestas de asociación, avisos de vencimiento de contraseñas y solicitudes de propuestas, entre otros.

Los sectores más golpeados fueron distribución mayorista, construcción y servicios financieros. También aparecieron casos en salud, educación superior e inmobiliaria. La operación desactivó infraestructura del servicio y terminó con dos arrestos en Londres.

¿Vale la pena el cambio de hábito? Sí, y bastante. Si tu trabajo pasa por aprobar pagos o responder pedidos por mail, desconfiar de un mensaje inesperado que pide urgencia ya no alcanza: hay que prestar atención a cómo te autenticás. Un código ingresado a las apuradas puede abrirle la puerta a una IA que lee, entiende y escribe mejor que muchos humanos. Y eso, en el mundo de las estafas, ya no es ciencia ficción.