Microsoft desmantela EvilTokens, un servicio de phishing asistido por IA vinculado a 12.000 buzones de entrada

El 22 de septiembre de 2026, Microsoft dijo que había desmantelado EvilTokens, una plataforma de phishing como servicio vinculada a más de 12.000 buzones de correo electrónico comprometidos en más de 10.000 organizaciones. Tras su lanzamiento en febrero de 2026, las víctimas se concentraron en Estados Unidos, Canadá, Reino Unido, Australia, India y Francia, y fueron engañadas para que escribieran un código de un solo uso en la página de inicio de sesión genuina de Microsoft, lo que dio a los atacantes acceso a su correo sin tener que entregar una contraseña. En el centro del servicio había un asistente de IA que leía el buzón robado, identificaba quién aprueba los pagos y quién valía la pena suplantar, y redactaba el mensaje de seguimiento. La Unidad de Delitos Digitales de Microsoft obtuvo autorización judicial en Virginia, incautó 50 sitios web e inhabilitó más de 150 dominios; la policía británica detuvo a dos hombres el 11 de septiembre. El registro completo del desmantelamiento que guarda el archivo, con su calificación y las fuentes citadas, se encuentra en el archivo de incidentes de IA junto con las demás entradas de esta serie.

La plataforma, y el truco de inicio de sesión que industrializó

EvilTokens no necesitaba contraseñas. Abusó del flujo de autorización de dispositivo de OAuth, el mecanismo que subyace al inicio de sesión en dispositivos sin teclado ni navegador —televisores inteligentes, impresoras, unidades de conferencia y salas de Microsoft Teams—. Ese flujo muestra un código corto en un dispositivo y pide al usuario que lo introduzca en una sesión de navegador en otro. El blog de seguridad de Microsoft explica por qué esa separación es la debilidad: quien inicia el flujo es la parte que acaba autenticada.

En la cadena que describe el equipo de inteligencia de amenazas de Microsoft, un correo con temática de presión —una factura, un aviso de uso compartido de archivos— conduce a una página del atacante. Un script en segundo plano de esa página se comunica en tiempo real con el proveedor de identidad de Microsoft y genera un código de dispositivo activo, que muestra con un botón de copiar junto a un enlace "Continuar con Microsoft". Ese enlace lleva al portal genuino microsoft.com/devicelogin. Mientras la víctima se autentica, el script consulta un endpoint /state en el propio servidor del atacante cada tres a cinco segundos durante los quince minutos de vida del código, a la espera de ver si el inicio de sesión se ha completado. Como un navegador con una sesión existente puede completar el paso en segundos, a menudo el código se copia al portapapeles y se pega directamente. La contraseña de la víctima nunca se escribe en nada que controle el atacante, y ningún restablecimiento de contraseña deshace lo ocurrido: "Ese acceso podría persistir incluso después de restablecer la contraseña si tampoco se revocaron las sesiones y los tokens asociados", escribió Steven Masada, consejero general asociado y gerente general de la Unidad de Delitos Digitales de Microsoft, en la publicación de la unidad.

Lo que la plataforma aportó fue la repetibilidad. Microsoft dice que EvilTokens distribuyó 44 temas de phishing diferentes y un conjunto de plantillas y páginas de destino, y que el actor al que sigue como Storm-2992 promocionó, vendió, actualizó y brindó soporte al kit en Telegram. Una campaña de abril de 2026, informa el Security Blog, utilizó plataformas de automatización para crear miles de nodos de sondeo únicos y de corta duración con lógica de backend en Node.js, un diseño dirigido directamente a derrotar la detección basada en firmas. Microsoft atribuye a Huntress las observaciones sobre los temas en circulación, incluyendo propuestas de licitación de construcción y avisos de vencimiento de contraseñas. Tras el compromiso, señala el Security Blog, algunos operadores registraron un nuevo dispositivo en menos de diez minutos para obtener un Primary Refresh Token para acceso duradero; otros esperaron horas antes de crear reglas de bandeja de entrada y exfiltrar correo.

Lo que la IA hizo dentro del buzón

La propia descripción que Microsoft hace de la IA es más específica que la frase titular «usó IA en cada paso de la cadena de ataque», y merece una lectura atenta. En el centro del servicio estaba, según la Digital Crimes Unit, «un chatbot de estilo IA que podía analizar la bandeja de entrada de una víctima y ayudar a los delincuentes a identificar relaciones de confianza, autorizaciones de pago y responsabilidades sensibles, así como otras circunstancias en las que era más probable que el fraude tuviera éxito». Podía resumir y traducir correos electrónicos, sacar a la luz conversaciones financieras, mapear roles organizativos y recomendar objetivos. Las indicaciones predefinidas permitían a un suscriptor buscar conversaciones sobre transferencias bancarias, encontrar a los «encargados de mover el dinero» de la organización, localizar facturas de proveedores y clasificar a las mejores personas a las que suplantar. También podía redactar mensajes haciéndose pasar por contactos de confianza.

Eso es análisis y redacción, no autonomía. El sistema leía lo que un operador ya había robado, lo clasificaba y proponía el siguiente movimiento; un cliente de pago decidía si enviarlo. Ninguno de los materiales revisados aquí describe a EvilTokens componiendo y despachando señuelos sin un suscriptor humano, ni moviendo fondos por sí mismo. La denuncia que presentaron Microsoft y Health-ISAC califica el esquema como "una sofisticada conspiración de compromiso de correo empresarial impulsada por el despliegue de extremo a extremo de agentes de inteligencia artificial"; esa es la caracterización de los demandantes en un escrito legal, y las funciones que describe a continuación son recuperación, clasificación y redacción dentro de un panel de control que opera un cliente.

El detalle más concreto del stack de IA proviene de esa demanda, que Microsoft publica a través de su Unidad de Delitos Digitales. En ella se alega que los demandados integraron los servicios de IA de Groq en versiones tempranas del panel de control de EvilTokens y, más recientemente, los servicios de OpenAI en una versión actualizada, y se reproduce un prompt de sistema que presenta al asistente como un experimentado operador de compromiso de correo empresarial y especialista en fraude por transferencia bancaria, disponible por defecto para todos los usuarios finales. Los investigadores de Microsoft también concluyeron que grandes partes de la plataforma fueron "vibe coded", con la IA ayudando a sus creadores a construirla, y que "se apoyó en capacidades de múltiples modelos de IA". Preguntado por cuáles otros, un portavoz de Microsoft declinó decirlo, informa The Record. OpenAI figura por separado como socio en la interrupción.

Los números, y quién los contó

La escala que destaca el titular es la de Microsoft. "En los meses posteriores a su lanzamiento en febrero de 2026, EvilTokens se había relacionado con más de 12.000 buzones de correo electrónico comprometidos en más de 10.000 organizaciones de todo el mundo", escribió la Digital Crimes Unit; el Security Blog repite la cifra, y SecurityWeek y Help Net Security también la recogen. La demanda dice lo mismo con sus propias palabras: "más de 12.000 víctimas comprometidas de Microsoft". Ningún organismo independiente ha publicado un recuento separado, y el papel de Health-ISAC era sumarse como codemandante porque las organizaciones sanitarias estaban entre los objetivos, no auditar el recuento.

Microsoft informa las concentraciones más altas de actividad de víctimas en Estados Unidos, Canadá, Reino Unido, Australia, India y Francia, y enumera los sectores afectados como distribución mayorista, construcción, servicios financieros, bienes raíces, educación superior y atención médica. La expresión «concentraciones más altas» importa: esos seis países son donde se agrupó la actividad, no una lista completa de dónde estaban las víctimas. La demanda alega que la empresa existía para «facilitar delitos financieros por valor de millones de dólares», pero las declaraciones públicas revisadas para este artículo no ofrecen ninguna cifra de pérdidas, y no se ha nombrado a ninguna víctima.

Un punto estructural incide en cuánto peso pueden tener los recuentos. Microsoft es el proveedor de identidad cuya página de inicio de sesión fue aprovechada por el esquema, el investigador que hizo ingeniería inversa de la plataforma y la fuente de las cifras de víctimas: la misma organización en los tres papeles. Su relato es detallado y coherente internamente, y está corroborado en cada punto que los medios independientes comprobaron, incluidos el precio, el mecanismo y las detenciones. Las cifras de víctimas no han sido verificadas de forma independiente.

El desmantelamiento: un caso civil, dos detenciones y lo que no demuestran

La acción de Microsoft se desarrolló en dos frentes. En Estados Unidos, la Unidad de Delitos Digitales obtuvo autorización del Tribunal de Distrito de los Estados Unidos para el Distrito Este de Virginia, con Health-ISAC como codemandante, y luego colaboró con Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs «para actuar contra partes clave de la plataforma», según sus palabras. Microsoft afirma que incautó 50 sitios web utilizados para operar el servicio y desactivó más de 150 dominios adicionales vinculados a su infraestructura. Califica la operación como su 40.ª interrupción autorizada por un tribunal y la primera contra lo que denomina «un servicio de ciberdelincuencia de extremo a extremo habilitado por IA».

La demanda que subyace a esa acción nombra a dos demandados residentes en el Reino Unido —Felix Utomi y Waidi Segun Adams—, además de cinco partes no identificadas, DOES 1-5, y alega violaciones de la Computer Fraud and Abuse Act, la Electronic Communications Privacy Act, la Lanham Act y la Racketeer Influenced and Corrupt Organizations Act. La copia publicada por la Digital Crimes Unit de Microsoft lleva el sello «filed under seal», no tiene número de caso y describe a dos demandados proveedores de infraestructura, tres miembros del personal de apoyo descritos solo por sus identificadores de Telegram y sus cargos, y dos usuarios finales cuyo acceso incluía a un cliente de Microsoft con sede en Virginia y a un miembro de Health-ISAC con sede en Virginia. SecurityWeek informa que la demanda también se dirige contra cinco personas no identificadas. El resumen del caso en el archivo registra que en los escritos se nombra a una empresa registrada en el Reino Unido detrás de la plataforma; el encabezamiento publicado solo nombra a personas, y ni las publicaciones de Microsoft ni la cobertura revisada aquí identifican a un demandado corporativo.

Por otra parte, el equipo de ciberdelincuencia del Metropolitan Police Service arrestó a dos hombres, de 32 y 38 años, el 11 de septiembre de 2026, e incautó dispositivos digitales y otros artículos. Ambos quedaron en libertad bajo fianza policial con condiciones mientras continúa la investigación, según informó la Digital Crimes Unit. La Met confirmó los arrestos a The Record y dijo que los hombres fueron detenidos bajo sospecha de fabricar artículos para su uso en fraude y blanqueo de capitales; Microsoft, que denunció el asunto a la policía en agosto, se negó a identificarlos ante ese medio. La inspectora detective Serena D'Adamo, cuyo equipo dirigió la investigación, dijo: "Los servicios de phishing causan sufrimiento a miles de personas y les quitan dinero a gente corriente de todo el mundo".

Lo que el registro no contiene merece mencionarse igualmente. No se han anunciado cargos. Ningún tribunal ha emitido una conclusión contra nadie. Ser nombrado en una demanda civil es una alegación, no una condena, y los dos hombres arrestados quedaron en libertad bajo fianza en lugar de ser acusados. Nada de lo publicado indica que la infraestructura incautada se haya vinculado a una pérdida específica por fraude; ni las publicaciones de Microsoft ni la cobertura revisada aquí la relacionan con ninguna, y el propio planteamiento de Microsoft es que la interrupción no es la erradicación: «Se ha interrumpido la infraestructura que respaldaba a EvilTokens, pero el modelo que demostró no desaparecerá con ella», escribió Masada.

Lo que Microsoft dice que deberían hacer los defensores

La orientación del blog de seguridad es inusualmente concreta y es la parte del episodio con mayor aplicabilidad. Su primera recomendación es bloquear por completo el flujo de código de dispositivo siempre que no sea necesario; cuando los dispositivos de Teams lo requieran, limitar la excepción a cuentas de recursos específicas de dispositivos de Teams y excluir el recurso Device Registration Service del Acceso Condicional. Además, aconseja la autenticación multifactor resistente al phishing, como tokens FIDO o claves de acceso de Microsoft Authenticator, bloquear la autenticación heredada y evitar la MFA por telefonía; habilitar Vínculos seguros, lo que, según indica, también habilita alertas de phishing con código de dispositivo de alta confianza; elevar el umbral de phishing avanzado a 2 o 3; activar la purga automática en hora cero; y generar alertas ante la creación de reglas de bandeja de entrada sospechosas.

Para los equipos de respuesta, el Security Blog señala una trampa que explica por qué persisten estas intrusiones. La revocación estándar de sesiones con revokeSignInSessions puede invalidar solo los tokens de actualización, dejando válidos los tokens de acceso hasta por una hora — por lo que Microsoft recomienda deshabilitar temporalmente una cuenta comprometida para una contención inmediata, y tratar el presunto robo de tokens de actualización con su manual de actuación para el robo de tokens. La Unidad de Delitos Digitales añade un control que ningún producto ofrece: verificar de forma independiente las solicitudes para cambiar información de pago, redirigir fondos o aprobar transacciones inusuales a través de un segundo canal de confianza. La lección que la unidad expone para las organizaciones es que «una vez que una bandeja de entrada está comprometida, los delincuentes pueden comprender su contenido en cuestión de minutos, no de días».

Ninguna de esas orientaciones se ha evaluado de forma independiente, y el registro no contiene ninguna medición de cuántas de las organizaciones afectadas tenían habilitado el flujo de código de dispositivo, ni de cuántas lo han bloqueado desde entonces. Microsoft ha notificado a los clientes afectados y ha ayudado a remediar las cuentas comprometidas, según afirma; lo que hicieron cada una de las organizaciones en respuesta no es público.

El archivo clasifica la entrada como un incidente materializado, de gravedad alta, confianza A, no disputado, con daño real registrado y participación de IA confirmada, fechado el mismo día del anuncio de Microsoft. Esa calificación refleja lo bien documentado que está el evento —dos publicaciones de Microsoft, una presentación judicial y cobertura independiente que coincide en el mecanismo, los precios y las detenciones— y es la razón por la que este relato puede ser específico sobre la cadena de ataque. No convierte los recuentos de víctimas de Microsoft en una cifra auditada ni transforma las acusaciones civiles contra dos hombres nombrados en conclusiones. El punto más duradero quizá sea el que Microsoft plantea contra sus propios intereses: la infraestructura está caída, pero la plantilla —una sesión robada, un asistente que lee la bandeja de entrada y un plan de fraude redactado en minutos— no lo está.