Microsoft y Coinbase Colaboran para Desmantelar la Red de Cibercrimen EvilTokens

Un esfuerzo colaborativo que involucra a Microsoft, Coinbase y las fuerzas del orden ha llevado al desmantelamiento de EvilTokens, una plataforma de phishing como servicio impulsada por IA, responsable de comprometer más de 12,000 bandejas de entrada de correo electrónico en más de 10,000 organizaciones en 79 países. La operación culminó con la detención de dos presuntos operadores en Londres el 11 de septiembre de 2026.

Detalles de la Operación EvilTokens

EvilTokens, que se lanzó en febrero de 2026, funcionaba como un servicio de suscripción para cibercriminales, cobrando una tarifa de instalación de $1,500 y $500 mensuales. La plataforma se especializaba en ataques de código de dispositivo, engañando a los usuarios para que se autenticaran en páginas de inicio de sesión legítimas de Microsoft mientras entregaban secretamente sus tokens de sesión a los atacantes. Este método eludía efectivamente la autenticación multifactor, permitiendo a los atacantes acceder sin autorización a las cuentas de correo electrónico.

El servicio también contaba con un chatbot de IA diseñado para el análisis de bandejas de entrada y planificación de fraudes, permitiendo a los operadores escanear correos electrónicos en busca de información financiera e identificar objetivos de alto valor dentro de las organizaciones.

Investigación y Desmantelamiento

La operación de desmantelamiento fue autorizada por un tribunal de distrito de EE. UU., permitiendo a Microsoft y sus socios incautar 50 sitios web y desactivar más de 150 dominios asociados con EvilTokens. El equipo de análisis de blockchain de Coinbase rastreó aproximadamente $1.1 millones en ingresos ilícitos a través de cuatro direcciones de Tron, mapeando más de 700 direcciones de depósito distintas vinculadas a la operación.

El impacto geográfico de los ataques fue significativo, con una concentración en EE. UU., Canadá, Reino Unido, Australia, India y Francia. La investigación reveló que alrededor de 1,000 cibercriminales utilizaron el servicio de EvilTokens, generando un promedio de $1,100 en ingresos por cliente.

Implicaciones y Recomendaciones

La exitosa colaboración entre Microsoft y Coinbase resalta la importancia de las asociaciones público-privadas en la lucha contra el cibercrimen. La operación sirve como un recordatorio de las tácticas en evolución utilizadas por los cibercriminales, particularmente la integración de la IA en los esquemas de phishing. Microsoft aconseja a las organizaciones bloquear la autenticación de código de dispositivo donde no sea necesaria e implementar medidas estrictas para las cuentas sospechosas de compromiso.