Ciberseguridad

Los ciberdelincuentes ya no necesitan pasar horas revisando una cuenta de correo electrónico robada para descubrir cómo engañar a una empresa. Una plataforma denominada EvilTokens utilizaba inteligencia artificial para analizar automáticamente los buzones comprometidos y localizar información con la que preparar fraudes mucho más convincentes.

Según Microsoft, el servicio permitió comprometer 12.000 cuentas de clientes pertenecientes a 10.000 organizaciones durante varios meses. Una vez conseguido el acceso, sus herramientas podían revisar miles de correos para identificar quién autorizaba pagos, quién era su responsable, con qué proveedores trabajaba la compañía o qué contactos gozaban de confianza dentro de la organización.

Microsoft ha anunciado ahora la interrupción de la infraestructura de EvilTokens. Mediante acciones legales y la colaboración con diferentes socios, se han incautado 50 páginas web y otros 150 dominios vinculados a la operación. La Policía Metropolitana de Londres también ha detenido a dos hombres como sospechosos de delitos relacionados con la plataforma.

Un servicio de ciberdelincuencia por suscripción

EvilTokens funcionaba como un servicio de pago promocionado a través de un canal de Telegram. El acceso tenía un coste inicial de 1.500 dólares, al que posteriormente había que sumar una suscripción mensual de 500 dólares.

A cambio, los clientes obtenían herramientas con las que lanzar campañas de phishing a gran escala y conseguir acceso a cuentas de Microsoft.

Una de las claves de la operación era el abuso de la autenticación mediante código de dispositivo, un sistema OAuth pensado para facilitar el inicio de sesión en televisores y otros dispositivos en los que introducir directamente las credenciales resulta complicado.

Normalmente, el dispositivo muestra un código y solicita al usuario que lo introduzca desde el navegador de otro equipo. Cuando completa el proceso correctamente, el primer dispositivo queda autorizado.

EvilTokens consiguió convertir ese mecanismo legítimo en una herramienta para apropiarse de cuentas.

Así conseguían que la propia víctima autorizara el acceso

Las campañas comenzaban con enlaces o archivos adjuntos de phishing. Al acceder a ellos, la víctima llegaba a páginas preparadas por los atacantes que ejecutaban scripts capaces de comunicarse en tiempo real con Microsoft Entra y generar códigos de dispositivo.

Posteriormente, se indicaba al usuario que introdujera ese código en la página legítima de Microsoft para iniciar sesión mediante código de dispositivo.

Aquí estaba el engaño: aunque la víctima estaba utilizando una página auténtica de Microsoft, el código introducido correspondía en realidad a un dispositivo controlado por los ciberdelincuentes.

Al completar la autenticación, el propio usuario terminaba autorizando el acceso del atacante a su cuenta.

Según SpyCloud, EvilTokens empleaba automatización basada en Node.js y códigos de dispositivo dinámicos, lo que ayudaba a evitar determinados sistemas de detección basados en patrones conocidos, firmas o infraestructuras de phishing estáticas.

La IA podía revisar 5.000 correos de una vez

Conseguir acceso al buzón era solo la primera parte del ataque. EvilTokens automatizaba buena parte del trabajo posterior utilizando un chatbot con capacidades de inteligencia artificial.

La herramienta podía analizar hasta 5.000 correos electrónicos simultáneamente para localizar la información que resultara más útil para cometer un fraude.

Entre otras cosas, buscaba empleados autorizados para aprobar grandes pagos, responsables jerárquicos, funciones dentro de la empresa y relaciones con clientes y proveedores.

Con esa información, los atacantes podían conocer rápidamente el funcionamiento interno de una organización y preparar una historia creíble para solicitar una transferencia, modificar una cuenta bancaria o hacerse pasar por un contacto conocido.

La herramienta incluso podía recomendar estrategias de fraude y redactar mensajes que aparentaban proceder de personas de confianza.

De esta forma, tareas que tradicionalmente exigían revisar manualmente conversaciones, facturas y listas de contactos podían realizarse de forma automatizada en mucho menos tiempo.

Empresas de numerosos sectores entre las víctimas

Las cuentas comprometidas pertenecían a organizaciones de sectores como distribución mayorista, construcción, servicios financieros, inmobiliario, educación superior y sanidad.

La mayor parte de las cuentas afectadas correspondía a usuarios de Estados Unidos, seguido de Canadá, Reino Unido, Australia, India y Francia.

El alcance del ataque muestra además cómo la inteligencia artificial puede acelerar una modalidad de fraude empresarial ya conocida: el Business Email Compromise (BEC). En este tipo de ataques, los delincuentes utilizan cuentas de correo comprometidas o suplantadas para hacerse pasar por directivos, proveedores o trabajadores y solicitar pagos o cambios de información bancaria.