Microsoft desmantela EvilTokens, plataforma criminal con IA que comprometió 12.000 cuentas en meses

👁 115 lecturas

Microsoft anunció el martes que lideró una operación coordinada con socios del sector para desmantelar EvilTokens, una plataforma criminal de suscripción que utilizó un chatbot de inteligencia artificial para comprometer 12.000 cuentas de Microsoft pertenecientes a 10.000 organizaciones en todo el mundo en el transcurso de apenas unos meses. La mayor concentración de víctimas se localizó en Estados Unidos, seguida por Canadá, el Reino Unido, Australia, India y Francia.

Un servicio completo de fraude por suscripción

EvilTokens se presentó en un canal de Telegram en febrero y funcionó como un servicio llave en mano para el fraude empresarial por correo electrónico. La tarifa de entrada era de 1.500 dólares, a los que se sumaban 500 dólares mensuales en concepto de suscripción recurrente. A cambio, los clientes obtenían acceso a una infraestructura que automatizaba prácticamente cada paso del ataque: desde el envío masivo de correos maliciosos hasta el análisis de las bandejas de entrada comprometidas, la selección de los objetivos con mayor potencial de pago y la redacción de mensajes de seguimiento diseñados para engañar a empleados y conseguir transferencias de fondos a cuentas controladas por los atacantes.

En el núcleo del servicio operaba un chatbot con capacidades de IA. Según declaró la propia compañía,

«la plataforma podía incluso recomendar estrategias de fraude, incluyendo la redacción de mensajes que suplantaban a contactos de confianza para ayudar a los criminales a engañar a las víctimas para que actuaran.»- Microsoft

El chatbot era capaz de identificar relaciones de confianza dentro de una organización, autorizaciones de pago, responsabilidades sensibles y cualquier otra circunstancia en la que el fraude tuviera mayor probabilidad de éxito. La combinación de automatización masiva y personalización contextual es lo que distinguía a EvilTokens de herramientas de phishing más rudimentarias: el tiempo necesario para pasar del acceso inicial a una solicitud de transferencia creíble se medía en minutos, no en días.

Los sectores más afectados incluyeron distribución mayorista, construcción, servicios financieros, inmobiliaria, educación superior y sanidad, según los datos de la operación. La firma de seguridad SpyCloud, que colaboró en el desmantelamiento, ha publicado detalles adicionales sobre las víctimas en su sitio oficial.

El mecanismo técnico: OAuth convertido en arma

El vector de ataque que hacía posible todo el sistema era una función legítima de Microsoft conocida como autenticación por código de dispositivo, una variante del protocolo OAuth pensada originalmente para televisores y otros dispositivos con interfaces de entrada limitadas - es decir, aquellos que no disponen de teclado o navegador para realizar un inicio de sesión convencional. En ese flujo normal, el dispositivo muestra un código y solicita al usuario que lo introduzca desde un navegador en otro equipo para autenticar la sesión.

EvilTokens invirtió este proceso a favor de los atacantes. La plataforma automatizaba el envío masivo de correos de señuelo. Cuando un usuario hacía clic en un enlace o adjunto malicioso, era redirigido a una página web que ejecutaba en segundo plano un script de automatización capaz de interactuar en tiempo real con el proveedor de identidad de Microsoft - identificado por SpyCloud como Microsoft Entra - para generar un código de dispositivo válido. El usuario veía ese código junto con instrucciones que le indicaban copiarlo e introducirlo en el portal oficial de inicio de sesión de dispositivos de Microsoft. Al hacerlo, sin saberlo autenticaba un equipo controlado por el atacante.

La lógica de backend, construida en Node.js según la información disponible, permitía eludir los sistemas de detección basados en firmas o patrones tradicionales. El flujo funcionaba de extremo a extremo: desde la generación dinámica de códigos hasta las actividades posteriores al compromiso. Microsoft ha publicado documentación técnica adicional sobre el abuso de este flujo de OAuth en su blog de seguridad.

Un panel de control integrado en la plataforma permitía a los clientes personalizar los señuelos según el perfil de cada organización objetivo, aumentando la verosimilitud de los ataques y reduciendo la necesidad de conocimientos técnicos por parte del comprador del servicio.

Incautaciones y arrestos

La respuesta coordinada permitió a Microsoft, mediante procesos legales y una red de socios, incautar 50 sitios web y 150 dominios adicionales que formaban la infraestructura operativa de EvilTokens. Paralelamente, el Servicio de Policía Metropolitana del Reino Unido arrestó a dos hombres bajo sospecha de delitos presuntamente vinculados a la plataforma criminal.

El caso ilustra una tendencia que preocupa cada vez más a los equipos de seguridad corporativos: el uso de herramientas de IA generativa no solo para mejorar la productividad legítima, sino para industrializar el fraude. La barrera de entrada para lanzar ataques de compromiso de correo empresarial - uno de los vectores más lucrativos del cibercrimen - se reduce drásticamente cuando una plataforma empaqueta el análisis de víctimas, la redacción de mensajes y la evasión de detección en un único servicio de suscripción mensual accesible por 500 dólares al mes. El desmantelamiento de EvilTokens elimina una infraestructura concreta, pero el modelo de negocio que representa no desaparece con ella.

// sigue leyendoGTA 6 en PC, PS4 y Xbox Series S: plataformas y fecha en PCNoticiasHacktron: dos vulnerabilidades, cuentas OpenAI y recompensaNoticiasEvilTokens: cómo la IA ayudó a hackear más de 12.000 correosNoticias

Kinetyra