Ni con la nueva clave te salvás: así operaba la estafa que Microsoft acaba de desbaratar

¿Te cambió la contraseña y se acabó el problema? Bueno, no siempre. Una plataforma que usaba inteligencia artificial para preparar estafas a medida hacía de las suyas incluso después de que el usuario legítimo renovara su clave. Microsoft acaba de tirar abajo a EvilTokens, el nombre del engendro en cuestión, y los números son para sentarse a mirar el techo un rato.

Porque estamos hablando de más de 12.000 cuentas comprometidas en más de 10.000 organizaciones. Traduzco al castellano para el vecino de Nueva Córdoba que no sigue estas cosas: la sigla MFA significa autenticación de dos pasos, lo mismo que te pide el home banking del Banco de Córdoba cuando, además de la clave, te manda un numerito al celular. EvilTokens la salteaba.

Una máquina de leerle la correspondencia a tu jefe

Lo que hacía esta vuelta era, francamente, cinematográfico. Una IA entraba a la casilla, escaneaba los mails, identificaba facturas pendientes, detectaba quién autorizaba pagos y reconstruía las relaciones de confianza dentro de la empresa. Es decir, leía la cadena completa de emails para saber cómo hablaba el gerente, a quién le pedía plata y cuánto.

Con ese mapa, el sistema elegía la identidad a suplantar y ayudaba a redactar el mensaje fraudulento basándose en conversaciones reales. Un mail creíble, con el tono justo, la firma conocida y el pedido exacto que alguien estaba esperando. No es un phishing burdo del tipo "soy un príncipe nigeriano": es ingeniería social con esteroides.

¿Por qué cambiar la contraseña no servía de nada?

Porque los atacantes no robaban la contraseña. Le pedían a la víctima que tipeara un código de autenticación (la sigla sería 2FA o MFA, lo que en la vida cotidiana de un cordobés equivale al token del banco o el código que te llega por SMS al celu) en la página legítima de Microsoft. Al hacerlo, sin darse cuenta, autorizaban una sesión controlada por el criminal.

La consecuencia práctica era incómoda: aunque el usuario cambiara la clave al día siguiente, la sesión fraudulenta seguía viva. Microsoft aclaró que también había que revocar tokens y sesiones asociadas, y recomendó bloquear la autenticación por código de dispositivo para reemplazarla por métodos que resistan este tipo de ataques, como las llaves FIDO2 (el aparatito USB o NFC que algunos bancos y empresas ya entregan, parecido al Token físico que usás para la AFP en tu trabajo) o las passkeys (la opción moderna de "iniciar con huella o cara" que ya tienen algunos sistemas).

¿Cuánto vale una suscripción así si te ahorra escribir el mail desde cero? Uff, parece que mucho para quienes la compraban. Lo que se desactivó fue la infraestructura del servicio, con dos arrestos en Londres como parte del operativo. Quiénes cayeron y a qué organización pertenecían es todavía un dato que Microsoft no terminó de hacer público.

Mientras tanto, la recomendación de la casa para empresas y autónomos sigue siendo la misma de siempre, pero vale repetirla: desconfiar del mensaje que pide apuro, verificar por otra vía y, si se puede, dejar de usar códigos por SMS (los que te llegan como SMSOTP al teléfono) a favor de llaves físicas o passkeys. La IA del atacante lee tu mail; lo mínimo que podés hacer es no darle la llave de tu casa. Veremos, che.