Microsoft desarticuló EvilTokens, una plataforma de cibercrimen que combinaba phishing, robo de acceso e inteligencia artificial para transformar buzones de correo comprometidos en materia prima para el fraude financiero. Desde febrero, el servicio se ha asociado a más de 12 mil buzones comprometidos en más de 10 mil organizaciones. El punto más relevante, sin embargo, está en lo que ocurría después de la invasión: la IA podía analizar mensajes, relaciones comerciales y autorizaciones de pago para indicar a quién atacar, a quién imitar y qué estafa tenía más probabilidades de funcionar.
EvilTokens muestra un cambio importante en la economía del compromiso de correo electrónico empresarial, o BEC. El trabajo de reconocimiento que tradicionalmente exigía tiempo y experiencia puede empezar a automatizarse. Si ese modelo se propaga, proteger la cuenta seguirá siendo esencial, pero ya no bastará con pensar en la defensa solo como una barrera contra el phishing. Las empresas también tendrán que reducir el valor operativo que un invasor puede extraer rápidamente de una sola identidad comprometida.
El cuello de botella del BEC estaba después de la invasión
Los fraudes de BEC tradicionalmente dependen del contexto. No basta con controlar un buzón de correo: el criminal necesita descubrir proveedores, responsables financieros, pagos recurrentes, jerarquías y patrones de comunicación antes de elegir el momento y la identidad correctos para un intento de fraude.
El propio FBI describe campañas en las que los criminales permanecen durante semanas o meses observando proveedores, sistemas de cobro y hábitos de los ejecutivos antes de enviar pedidos fraudulentos. Ese reconocimiento permite que una transferencia falsa parezca parte de una operación legítima.
EvilTokens comprimía parte de ese trabajo. Según Microsoft, su asistente podía revisar un buzón comprometido en busca de conversaciones sobre transferencias, facturas, personas capaces de mover dinero y contactos adecuados para la suplantación. La plataforma también hacía reconocimiento mediante Microsoft Graph para mapear la estructura organizativa y los permisos.
Es esa automatización, más que la simple generación de textos de phishing, la que altera el modelo económico del ataque.
La IA reduce el costo entre el acceso robado y el fraude financiero
Las herramientas generativas ya venían abaratando otra etapa del fraude: producir mensajes, documentos e identidades falsas a gran escala. En septiembre, la propia Microsoft detalló una campaña de más de 1 millón de correos que combinaba suplantación de ejecutivos, facturas fabricadas y conversaciones falsas para intentar inducir a equipos financieros a autorizar pagos ACH cercanos a US$ 50 mil.
EvilTokens va un paso más allá. En lugar de usar IA solo para fabricar contenido antes del ataque, el servicio aplicaba modelos sobre datos privados obtenidos después del compromiso.
Esto reduce la distancia entre conseguir acceso y encontrar una oportunidad de monetización. Una cuenta con miles de mensajes deja de exigir necesariamente horas de lectura manual. Las relaciones con proveedores, las aprobaciones, las responsabilidades financieras y las conversaciones sensibles pueden priorizarse automáticamente.
La plataforma también empaquetaba estas capacidades comercialmente. Microsoft afirma que el acceso se vendía por una tarifa inicial de US$ 1.500 y una suscripción recurrente de US$ 500, con panel de control, infraestructura de phishing, soporte y herramientas para avanzar desde el compromiso hasta la preparación del fraude.
En ese sentido, “fraude como servicio” deja de ser solo una analogía. El producto reducía la necesidad de combinar por separado conocimientos sobre phishing, identidades en la nube, reconocimiento interno e ingeniería social.
El tiempo para reaccionar también se acorta
Esta automatización crea otro problema para la defensa: la velocidad.
El análisis técnico de Microsoft encontró casos en los que los operadores registraron nuevos dispositivos menos de diez minutos después del compromiso para obtener persistencia a largo plazo. En otros, se usaron tokens robados para crear reglas maliciosas en la bandeja de entrada, exfiltrar correos y continuar el reconocimiento mientras el acceso seguía siendo válido.
Esto significa que la ventana entre la primera señal de compromiso y el inicio de la explotación del contexto corporativo puede reducirse significativamente.
El ataque también explota un punto específico de la identidad moderna. EvilTokens abusaba del device code authentication, un flujo legítimo de OAuth creado para dispositivos con interfaces limitadas. La víctima podía terminar autorizando la sesión del atacante incluso pasando por etapas normales de autenticación en el dominio legítimo de Microsoft. Por eso, la empresa recomienda bloquear el device code flow cuando no sea necesario y restringir rigurosamente sus excepciones.
La consecuencia es que “tener MFA” deja de ser una descripción suficiente de la postura de seguridad. El tipo de autenticación, los flujos permitidos, la duración de los tokens, el registro de nuevos dispositivos y el comportamiento posterior al inicio de sesión ahora importan en conjunto. La CISA recomienda que las organizaciones avancen hacia métodos resistentes al phishing, como FIDO/WebAuthn, dentro de una estrategia más amplia de protección de identidad.
Los pagos deben sobrevivir al compromiso del correo electrónico
El otro cambio necesario está fuera de la infraestructura de seguridad.
En 2025, el FBI recibió casi 25 mil denuncias de compromiso de correo electrónico empresarial, asociadas a aproximadamente US$ 3 mil millones en pérdidas. La cifra ayuda a explicar por qué automatizar la búsqueda de oportunidades financieras dentro de cuentas comprometidas tiene potencial económico para el cibercrimen.
Sin embargo, cuando un invasor logra leer conversaciones reales, detectar un fraude solo por el tono del mensaje se vuelve menos confiable. El atacante puede conocer al proveedor, al ejecutivo responsable, una factura anterior e incluso el contexto de una negociación real.
Por eso, el control decisivo puede estar en el proceso de pago. El FBI recomienda que los cambios de cuenta bancaria, las instrucciones de pago y las transferencias se verifiquen por un canal independiente, usando contactos previamente conocidos en lugar de la información presente en el propio mensaje recibido.
Esa separación crea una barrera que el análisis automatizado de la bandeja de entrada no elimina fácilmente: incluso entendiendo perfectamente la conversación comprometida, el criminal todavía tiene que atravesar un proceso de autorización que no depende de ella.
El modelo de EvilTokens puede sobrevivir a EvilTokens
La operación contra la plataforma fue significativa. Microsoft y Health-ISAC obtuvieron una orden judicial en el Distrito Este de Virginia; Microsoft afirmó haber incautado 50 sitios y desactivado más de 150 dominios vinculados a la infraestructura. La acción también involucró a empresas de tecnología y seguridad, mientras que la policía británica detuvo a dos hombres en una investigación relacionada con la operación.
Pero derribar la infraestructura no elimina la lógica económica demostrada por el servicio.
La próxima señal relevante será verificar si las plataformas sucesoras empiezan a incorporar como recurso estándar el análisis automatizado de buzones, el reconocimiento de organizaciones y la recomendación de estrategias de monetización. También será importante observar si los proveedores de identidad empiezan a restringir de forma más agresiva flujos como device code authentication y a detectar automáticamente consultas anómalas a Microsoft Graph después de inicios de sesión sospechosos.
EvilTokens no prueba que todo el BEC vaya a automatizarse. Muestra algo más concreto: una parte del ataque que históricamente dependía de trabajo humano intensivo ya puede empaquetarse en software y venderse por suscripción.
Para las empresas, esto reduce la validez del supuesto defensivo. Un buzón de correo comprometido ya no debe tratarse solo como una fuente de mensajes robados. Puede funcionar, casi de inmediato, como un mapa de relaciones, autoridad y flujo financiero de la organización.
