La Unidad de Delitos Digitales de Microsoft anunció que ha desmantelado un servicio criminal llamado EvilTokens. Desde su aparición en febrero de 2026, se le vincula con más de 12.000 buzones comprometidos en más de 10.000 organizaciones.

Dos cosas distinguen a EvilTokens de un kit de phishing corriente: entraba sin robar contraseñas y, una vez dentro, decidía qué hacer con ayuda de un chatbot de inteligencia artificial.

Entrar sin contraseña: phishing de código de dispositivo

El ataque abusa del flujo de código de dispositivo de OAuth 2.0. La víctima recibe un enlace o un adjunto que muestra un código de dispositivo y lo introduce en la página de inicio de sesión real de Microsoft. La página es auténtica, así que faltan las señales habituales de phishing. En cuanto se introduce el código, el atacante recibe tokens de acceso y de actualización.

El resultado es acceso completo al buzón sin conocer nunca la contraseña. Peor aún, según The Hacker News ese acceso puede sobrevivir a un cambio de contraseña: si no se revocan también las sesiones y los tokens, el atacante sigue dentro. Con los tokens puede registrar dispositivos, crear reglas en el buzón y extraer correos.

Qué hacía el chatbot

En el centro del servicio había un chatbot que leía el buzón comprometido. Según Microsoft, podía:

  • Resumir y traducir la correspondencia en más de 20 idiomas.
  • Localizar conversaciones sobre transferencias y a quienes aprueban pagos.
  • Cartografiar los cargos y las relaciones de confianza de la organización.
  • Recomendar a quién resultaba más creíble suplantar y redactar mensajes con su voz.

Unas plantillas de instrucciones permitían hacer todo esto con un clic. La diferencia que subraya Microsoft es la velocidad: el reconocimiento de un buzón, que antes llevaba días, pasa a durar minutos.

Escala y operación

El servicio se vendía en un escaparate de Telegram por 1.500 dólares de entrada y 500 dólares de suscripción mensual. Coinbase rastreó cerca de 1,1 millones de dólares de ingresos de la plataforma. Las víctimas se concentran en Estados Unidos, Canadá, Reino Unido, Australia, India y Francia, en sectores como distribución mayorista, construcción, finanzas, inmobiliario, educación superior y sanidad.

Microsoft obtuvo autorización del Tribunal del Distrito Este de Virginia y, junto a Health-ISAC y socios como Cloudflare, Coinbase y OpenAI, incautó 50 sitios web y desactivó más de 150 dominios de apoyo. En el Reino Unido, la unidad de cibercrimen de la Policía Metropolitana detuvo el 11 de septiembre de 2026 a dos hombres de 32 y 38 años, que quedaron en libertad bajo fianza mientras sigue la investigación.

Qué deben hacer las organizaciones

Las recomendaciones de Microsoft apuntan al flujo, no a la IA:

  • Restringir el flujo de código de dispositivo con políticas de acceso condicional salvo que sea realmente necesario.
  • Si se sospecha que una cuenta está comprometida, cambiar la contraseña no basta: hay que revocar sesiones y tokens.
  • Verificar por un segundo canal de confianza cualquier petición de cambiar datos de pago, redirigir fondos o aprobar una operación inusual.

Lo último es lo más importante. Lo que hace convincente a este ataque es que el mensaje llega de verdad desde una dirección conocida y está escrito con el lenguaje de la propia empresa. Lo que lo frena no es un filtro técnico, sino una sola llamada de confirmación.