Microsoft y diversas entidades desmantelaron EvilTokens, un servicio de phishing impulsado por IA que comprometió 12,000 bandejas de correo y evadió la autenticación multifactor. La operación resultó en la caída de más de 50 sitios web y el arresto de dos administradores en Londres. Este caso resalta la peligrosidad de la IA para automatizar fraudes, instando a las empresas a reforzar su seguridad y verificación de transacciones.






Una coalición de fuerzas del orden y empresas tecnológicas del sector privado liderada por Microsoft ha desmantelado el servicio de phishing EvilTokens, deteniendo a presuntos administradores del sitio web, eliminando más de 50 sitios web y notificando a las víctimas de cuentas de correo electrónico comprometidas.

EvilTokens es un notorio kit de phishing de código de dispositivo de Microsoft que surgió en febrero y que, a los pocos meses de su lanzamiento, había sido utilizado por criminales para comprometer 12.000 bandejas de entrada de correo electrónico en más de 10.000 organizaciones en todo el mundo.

Al igual que otras suscripciones de phishing similares, EvilTokens se vendía como un servicio y permitía a los compradores evadir la autenticación de múltiples factores (MFA) y autenticarse silenciosamente como la víctima en las aplicaciones de Microsoft 365 de la organización.

Lo que hizo que este fuera especialmente insidioso, sin embargo, fue su uso de la IA. EvilTokens contaba con un chatbot de IA que podía analizar la bandeja de entrada de una víctima y ayudar a los criminales a identificar a quién atacar, a qué contactos de confianza suplantar e incluso qué estrategias de fraude utilizar para maximizar las ganancias de los delincuentes.

“Desde el 15 de marzo de 2026, hemos observado entre 10 y 15 campañas distintas lanzándose cada 24 horas", dijo Tanmay Ganacharya, vicepresidente de investigación de seguridad de Microsoft, en una entrevista anterior sobre el servicio de phishing.

A finales de la semana pasada, en un esfuerzo coordinado que abarcó EE. UU. y el Reino Unido, Microsoft incautó 50 sitios web utilizados para operar el servicio y desactivó más de 150 dominios adicionales vinculados a su infraestructura de soporte. Mientras tanto, el Servicio de Policía Metropolitana de Londres detuvo el 18 de septiembre a dos hombres, de 32 y 38 años, que presuntamente actuaban como administradores del sitio web de EvilTokens. Ambos hombres han sido puestos en libertad bajo fianza mientras continúa la investigación.

“Los servicios de phishing traen miseria a miles de personas, quitando dinero a gente común en todo el mundo”, dijo la inspectora detective Serena D'Adamo, cuyo equipo lideró la investigación de la Met, en un comunicado por correo electrónico. “La Met mantiene su compromiso de hacer responsables a quienes facilitan funciones que permiten la actividad criminal y piensan que pueden permanecer sin ser detectados”.

Debido a que las organizaciones sanitarias estaban entre las afectadas, Health-ISAC, una organización sin fines de lucro que ayuda a las organizaciones del sector salud a compartir información sobre ciberamenazas, se unió a la acción legal de Microsoft como codemandante.

Tras recibir las autorizaciones del Tribunal de Distrito de los EE. UU. para el Distrito Este de Virginia, Microsoft y Health-ISAC trabajaron con Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs, desmantelaron la plataforma de EvilTokens y Microsoft notificó a los clientes afectados, ayudándoles a remediar las cuentas comprometidas.

Esta acción marca la cuadragésima interrupción autorizada por el tribunal de la Unidad de Delitos Digitales (DCU) de Microsoft en casi dos décadas. Según Steven Masada, abogado general asociado y gerente general de la DCU, esta es también la primera acción de la DCU contra un servicio de cibercrimen habilitado por IA de extremo a extremo.

“La infraestructura que soportaba a EvilTokens ha sido desmantelada, pero el modelo que demostró no desaparecerá con ella”, afirmó en un blog compartido antes de la publicación. “Para las organizaciones, la lección es: asuman que una vez que una bandeja de entrada se ve comprometida, los criminales pueden comprender su contenido en minutos, no en días. Las protecciones de identidad sólidas y la supervisión siguen siendo esenciales, pero las organizaciones también deben verificar independientemente las solicitudes para cambiar la información de pago, redirigir fondos o aprobar transacciones inusuales a través de un segundo canal de confianza”.

Fuente:
TheRegister