EvilTokens: Microsoft desactiva plataforma de fraude con IA y 12.000 cuentas

Microsoft desarticula EvilTokens: el «fraude como servicio» potenciado con IA

Microsoft anunció el 22 de septiembre el desmantelamiento de EvilTokens, una plataforma de phishing como servicio (PhaaS) que utilizaba un chatbot con IA para comprometer 12.000 cuentas de correo pertenecientes a 10.000 organizaciones en menos de un año. La operación, autorizada por el Tribunal de Distrito de EE. UU. para el Distrito Este de Virginia, permitió incautar 50 sitios web y desactivar más de 150 dominios vinculados a la infraestructura criminal, según Ars Technica.

La Policía Metropolitana del Reino Unido detuvo a dos hombres de 32 y 38 años el 11 de septiembre por su presunta conexión con la plataforma, según reportó The Hacker News. Ambos quedaron en libertad bajo fianza policial a la espera del análisis forense de los dispositivos intervenidos.

¿Qué era exactamente EvilTokens?

EvilTokens no era un malware tradicional: era un servicio comercial completo con precios, soporte al cliente y panel de administración. Lanzado en febrero de 2026 a través de canales de Telegram, ofrecía:

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Cuota inicial de US$1.500 y suscripción mensual de US$500.
Productos complementarios como B2B Sender (US$600), Office 365 Capture Link (US$1.500) y SMTP Sender (US$1.000).
44 plantillas temáticas de phishing (facturas, propuestas, documentos para firmar, avisos de expiración de contraseña).
Un chatbot con IA que analizaba bandejas de entrada comprometidas en más de 20 idiomas y redactaba mensajes de impersonación.

Según el blog oficial de Microsoft, el chatbot identificaba «relaciones de confianza, autorizaciones de pago y responsabilidades sensibles» para recomendar estrategias de fraude personalizadas. Una parte del kit fue desarrollado con asistencia de IA (lo que se conoce como vibe coding), lo que abarató la barrera técnica de entrada para nuevos atacantes.

El truco del «device code phishing»: cómo robaban cuentas sin contraseñas

Lo que hace a EvilTokens diferente a los demás es el abuso de un flujo legítimo de OAuth 2.0 llamado autenticación por código de dispositivo (device code authentication), pensado originalmente para televisores inteligentes, impresoras y dispositivos Teams que no tienen pantalla para iniciar sesión.

El ataque funcionaba así:

La víctima recibía un correo con un enlace malicioso o un archivo HTML protegido con contraseña.
Al hacer clic, un script generaba un código de dispositivo en tiempo real y se lo mostraba al usuario junto con un botón que lo llevaba a la URL legítima microsoft.com/devicelogin.
La víctima pegaba el código en la página real de Microsoft y completaba su MFA habitual.
El token resultante se entregaba al atacante, que obtenía acceso persistente a la cuenta sin necesidad de conocer la contraseña.

Coinbase rastreó aproximadamente US$1,1 millones en ingresos de la plataforma en cuatro direcciones de Tron entre octubre de 2025 y junio de 2026, con más de 1.000 depósitos desde 700 direcciones distintas, según The Hacker News.

«Minutos, no días»: la nueva velocidad del fraude

Uno de los aspectos más preocupantes que destacan los investigadores de Microsoft, TRM Labs y SpyCloud es la automatización casi total del proceso. Omair Manzoor, CEO de ioSENTRIX, lo resumió de forma directa: «Las organizaciones deben asumir que cada bandeja comprometida será leída y explotada por IA en minutos, no en días«, según CSO Online.

En un caso analizado por eSentire, los atacantes del kit similar GhostCode registraron tres dispositivos controlados por ellos y completaron una inscripción en Intune en apenas 78 segundos tras la autenticación, según Hackread. Un Primary Refresh Token (PRT) se obtuvo a los 32 segundos, dando acceso equivalente a SSO en los recursos de Microsoft 365.

¿Qué países e industrias fueron los más afectados?

Las organizaciones víctimas se concentran en EE. UU., Canadá, Reino Unido, Australia, India y Francia, según Microsoft. SpyCloud identificó 8.708 cuentas únicas comprometidas distribuidas en 6.585 dominios corporativos en 79 países, con capturas que se remontan al 18 de febrero de 2026.

Los sectores más golpeados incluyen distribución mayorista, construcción, servicios financieros, bienes raíces, educación superior y salud — es decir, industrias con volumen alto de facturas y pagos por transferencia, exactamente el tipo de organizaciones donde un BEC (Business Email Compromise) funciona mejor.

¿Por qué importa para una startup hispana?

El caso EvilTokens marca un antes y un después: por primera vez vemos un kit de phishing con IA operando a escala industrial que cuesta menos que muchas herramientas SaaS legítimas (US$2.000 de entrada + US$500/mes). Si tu startup usa Google Workspace o Microsoft 365, estás dentro del universo de ataque, sin importar si tienes 5 o 500 empleados.

El modelo de PhaaS democratiza el fraude de la misma forma que Stripe democratizó los pagos: cualquiera con conocimientos básicos y unos miles de dólares puede lanzar campañas de BEC que antes requerían un equipo especializado en ingeniería social.

¿Qué significa esto para tu startup?

1. El MFA por sí solo ya no protege contra phishing. Como explica Michael Jenkins, CTO de ThreatLocker, en Hackread, «la víctima completa un proceso legítimo de Microsoft, pero el atacante se va con un token válido. Es otro ejemplo de por qué el MFA por sí solo ya no es suficiente».

2. La verificación debe ser del dispositivo, no solo del usuario. Implementa autenticación resistente a phishing con FIDO2 o passkeys en Microsoft Authenticator, y exige dispositivos compatibles vía Conditional Access.

3. Bloquea el flujo de device code donde puedas. Microsoft recomienda deshabilitar el flujo de device code en tu política de Conditional Access, y dejar excepciones solo para cuentas de dispositivo de Teams específicas.

4. Revisa los registros de Entra ID en busca de señales de ataque. Microsoft publica consultas de hunting específicas para detectar:

Dispositivos registrados tras autenticación sospechosa por device code.
Actividad anómala en Microsoft Graph tras un sign-in.
Reglas maliciosas de bandeja de entrada creadas tras autenticación sospechosa.

5. Asume que el incidente se mide en minutos. Diseña tu runbook de respuesta con la premisa de que el atacante ya leyó tu bandeja y actuó antes de que tu equipo de TI se entere. Deshabilitar la cuenta comprometida inmediatamente puede ser preferible a esperar una revocación limpia de tokens.

6. Forma a tu equipo financiero con escenarios reales. Los intentos de fraude por BEC suelen pasar por la persona que autoriza pagos. Un tabletop exercise trimestral con tu CFO, tu equipo de cuentas por pagar y tu CTO vale más que cualquier herramienta de seguridad cara.

¿Qué viene después?

Microsoft rastrea al actor detrás de EvilTokens como Storm-2992, y la operación de Microsoft Digital Crimes Unit (DCU) contó con el apoyo de Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs. Pero los investigadores son claros: esta es solo la primera plataforma que implementó device code phishing a escala, no la última.

Si tu startup opera en LATAM o España y maneja pagos en USD o EUR, no esperes a estar en la lista de las 10.000 organizaciones para reforzar tu identidad. El costo del kit para el atacante es menor que el costo de una póliza de ciberseguridad anual para tu empresa: ahí está el incentivo perverso que mueve este mercado.