El phishing lleva décadas existiendo, pero EvilTokens añadió algo bastante más inquietante al proceso: una inteligencia artificial capaz de estudiar por sí sola el correo de una víctima y decirle al atacante cuál era la mejor forma de estafarla.
Microsoft ha desmantelado esta plataforma de cibercrimen después de vincularla con más de 12.000 buzones comprometidos pertenecientes a más de 10.000 organizaciones de todo el mundo. El servicio apareció en febrero de 2026 y, en apenas unos meses, llegó a convertirse en una de las plataformas de phishing como servicio más utilizadas que seguía la compañía.
La operación permitió tomar el control de 50 sitios web y desactivar más de 175 dominios asociados a su infraestructura. Microsoft identifica al grupo responsable de desarrollar y mantener EvilTokens bajo el nombre Storm-2992.
No necesitaba robar tu contraseña
Una de las claves de EvilTokens estaba en el llamado phishing por código de dispositivo. Es un ataque especialmente engañoso porque la víctima termina introduciendo el código en una página auténtica de Microsoft. El criminal inicia previamente una solicitud de autenticación y envía ese código mediante un correo falso. Cuando la víctima lo introduce en el portal legítimo, está autorizando sin saberlo la sesión del atacante.
El resultado es que la contraseña nunca necesita pasar por manos del ciberdelincuente. Una vez obtenido el token de acceso, los atacantes podían leer el correo, crear reglas para ocultar determinadas conversaciones e incluso registrar otros dispositivos para mantener el acceso durante más tiempo. Microsoft explica que este tipo de phishing se ha vuelto especialmente útil a medida que las empresas han extendido la autenticación multifactor.
EvilTokens añadía después su verdadera ventaja: automatizaba buena parte de lo que ocurría tras entrar en el buzón. Su asistente de IA podía revisar los correos comprometidos, resumirlos, localizar conversaciones sobre transferencias y facturas, reconstruir las relaciones dentro de una empresa y determinar quién tenía capacidad para autorizar pagos. También podía sugerir a quién suplantar y redactar el mensaje que se enviaría después.
Microsoft llegó a encontrar instrucciones predefinidas para buscar conversaciones sobre transferencias bancarias, localizar a las personas que movían dinero dentro de la organización o detectar facturas de proveedores.
Un negocio de ciberdelincuencia con suscripción mensual
La plataforma tenía una estructura sorprendentemente parecida a la de cualquier servicio de software comercial. Storm-2992 anunciaba EvilTokens mediante Telegram y ofrecía soporte a sus clientes. La entrada costaba 1.500 dólares, seguida de una suscripción mensual de 500 dólares. Los usuarios recibían un panel desde el que podían configurar las campañas, elegir plantillas y administrar las víctimas.
El servicio incluía hasta 44 tipos diferentes de señuelos, desde facturas y documentos compartidos hasta solicitudes de propuestas. Incluso permitía utilizar IA para adaptar los mensajes a objetivos específicos.
La investigación financiera ofrece además una idea del tamaño que llegó a alcanzar el negocio. Coinbase rastreó aproximadamente 1,1 millones de dólares en ingresos, repartidos entre cuatro direcciones de la red Tron y procedentes de más de 1.000 depósitos realizados desde más de 700 direcciones diferentes. Esa información ayudó posteriormente a identificar a sus operadores.
Dos sospechosos fueron detenidos en Londres el 11 de septiembre y sus dispositivos quedaron incautados para ser analizados.
La IA convirtió horas de investigación en unos pocos clics
EvilTokens resulta especialmente interesante porque muestra cómo está cambiando el negocio del phishing. Hasta ahora, comprometer una cuenta era solo el principio. Un atacante debía revisar manualmente cientos o miles de correos, entender quién era quién dentro de una empresa, localizar una operación económica creíble y preparar posteriormente el fraude.
EvilTokens empaquetó todos esos pasos en una única interfaz.
Microsoft asegura incluso haber encontrado indicios de que grandes partes de la propia plataforma habían sido desarrolladas mediante “vibe coding”, utilizando herramientas de IA para escribir su código. Es decir, la inteligencia artificial apareció tanto en la creación del servicio como en los ataques que posteriormente ejecutaban sus clientes.
El desmantelamiento corta una infraestructura concreta, pero no elimina la técnica. Microsoft recomienda bloquear la autenticación por código de dispositivo cuando no sea necesaria y utilizar métodos resistentes al phishing, como passkeys o llaves de seguridad FIDO2.
Porque la novedad de EvilTokens no era que una IA pudiera redactar un correo falso convincente. Era que podía entrar en 10 años de conversaciones empresariales y decidir, entre miles de posibilidades, cuál tenía más probabilidades de terminar con alguien enviando dinero al lugar equivocado.
