🔵 Microsoft desmantela plataforma de estafas asistida por IA que comprometió 12,000 cuentas
Microsoft disrupts AI-assisted platform that compromised 12,000 accounts
Microsoft ha anunciat la interrupció d'una plataforma d'estafes basada en subscripcions que utilitzava un chatbot d'intel·ligència artificial per comprometre 12.000 comptes de Microsoft en un període de pocs mesos. La plataforma, anomenada EvilTokens, va ser introduïda a través d'un canal de Telegram al febrer, cobrant una tarifa inicial de $1,500 i un càrrec mensual recurrent de $500.
EvilTokens oferia un servei integral per facilitar la majoria dels passos necessaris per comprometre comptes de correu electrònic en grans quantitats. A partir d'aquí, la plataforma ajudava els clients a analitzar safates d'entrada, seleccionar objectius amb el major potencial de guanys i redactar correus electrònics de seguiment que proporcionaven enganys realistes per induir els empleats de les empreses a transferir fons a comptes controlats per atacants.
"Mentre EvilTokens ajudava els ciberdelinqüents a accedir a comptes de correu electrònic, al centre del servei hi havia un chatbot estil IA que podia analitzar la safata d'entrada d'una víctima i ajudar els criminals a identificar relacions de confiança, autoritzacions de pagament i responsabilitats sensibles, així com altres circumstàncies on el frau era més probable de tenir èxit", va explicar Microsoft. "La plataforma fins i tot podia recomanar estratègies de frau, incloent la redacció de missatges que imitaven contactes de confiança per ajudar els criminals a enganyar les víctimes perquè prenguessin acció."
Els usuaris d'EvilTokens van comprometre 12.000 comptes de clients pertanyents a 10.000 organitzacions arreu del món, amb la major concentració als Estats Units. Altres països afectats inclouen Canadà, el Regne Unit, Austràlia, Índia i França. Les organitzacions víctimes incloïen distribució a l'engròs, construcció, serveis financers, béns arrels, educació superior i atenció mèdica.
Utilitzant un procés legal i una xarxa de socis, Microsoft va confiscar 50 llocs web i 150 dominis més utilitzats per operar EvilTokens. El Servei de Policia Metropolitana del Regne Unit va arrestar dos homes sota sospita de delictes suposadament relacionats amb la plataforma criminal.
Els compromisos de comptes es van aconseguir a través d'un procés d'OAuth legítim conegut com a autenticació de codi de dispositiu, dissenyat per a dispositius amb restriccions d'entrada, com televisors. En aquest model, el dispositiu presenta un codi i instrueix l'usuari a introduir-lo en un navegador en un dispositiu separat, que després és autenticat.
EvilTokens proporcionava als clients una plataforma que automatitzava l'enviament de grans quantitats d'spam. Els usuaris que feien clic en enllaços o fitxers adjunts maliciosos eren dirigits a una pàgina web que executava un script d'automatització ocult que interactuava amb el proveïdor d'identitat de Microsoft en temps real per generar un codi per inscriure un dispositiu pertanyent a l'atacant.
Microsoft ha assenyalat que EvilTokens representa un canvi significatiu en la manera com es comprometen i es gestionen els comptes després de ser compromesos. Normalment, els atacants trigaven temps a revisar milers de correus electrònics per assemblar l'organigrama de l'organització, proveïdors, clients i altres relacions amb tercers. Aquesta càrrega es redueix considerablement amb eines assistides per IA.
"Per a les organitzacions, la lliçó és: assumeixin que un cop una safata d'entrada està compromesa, els criminals poden entendre el seu contingut en minuts, no dies", va advertir Microsoft. "Les proteccions d'identitat sòlides i la supervisió continuen sent essencials, però les organitzacions també han de verificar de forma independent les sol·licituds per canviar informació de pagament, redirigir fons o aprovar transaccions inusuals a través d'un segon canal de confiança."
Microsoft disrupts AI-assisted platform that compromised 12,000 accounts
Microsoft ha anunciado la interrupción de una plataforma de estafas basada en suscripciones que utilizaba un chatbot de inteligencia artificial para comprometer 12,000 cuentas de Microsoft en un periodo de pocos meses. La plataforma, llamada EvilTokens, fue introducida a través de un canal de Telegram en febrero, cobrando una tarifa inicial de $1,500 y un cargo mensual recurrente de $500.
EvilTokens ofrecía un servicio integral para facilitar la mayoría de los pasos necesarios para comprometer cuentas de correo electrónico en grandes cantidades. A partir de ahí, la plataforma ayudaba a los clientes a analizar bandejas de entrada, seleccionar objetivos con el mayor potencial de ganancias y redactar correos electrónicos de seguimiento que proporcionaban engaños realistas para inducir a los empleados de las empresas a transferir fondos a cuentas controladas por atacantes.
«Mientras EvilTokens ayudaba a los ciberdelincuentes a acceder a cuentas de correo electrónico, en el centro del servicio había un chatbot estilo IA que podía analizar la bandeja de entrada de una víctima y ayudar a los criminales a identificar relaciones de confianza, autorizaciones de pago y responsabilidades sensibles, así como otras circunstancias donde el fraude era más probable de tener éxito», explicó Microsoft. «La plataforma incluso podía recomendar estrategias de fraude, incluyendo la redacción de mensajes que imitaban a contactos de confianza para ayudar a los criminales a engañar a las víctimas para que tomaran acción.»
Los usuarios de EvilTokens comprometieron 12,000 cuentas de clientes pertenecientes a 10,000 organizaciones en todo el mundo, con la mayor concentración en los Estados Unidos. Otros países afectados incluyen Canadá, el Reino Unido, Australia, India y Francia. Las organizaciones víctimas incluían distribución mayorista, construcción, servicios financieros, bienes raíces, educación superior y atención médica.
Utilizando un proceso legal y una red de socios, Microsoft incautó 50 sitios web y 150 dominios más utilizados para operar EvilTokens. El Servicio de Policía Metropolitana del Reino Unido arrestó a dos hombres bajo sospecha de delitos supuestamente relacionados con la plataforma criminal.
Los compromisos de cuentas se lograron a través de un proceso de OAuth legítimo conocido como autenticación de código de dispositivo, diseñado para dispositivos con restricciones de entrada, como televisores. En este modelo, el dispositivo presenta un código e instruye al usuario a ingresarlo en un navegador en un dispositivo separado, que luego es autenticado.
EvilTokens proporcionaba a los clientes una plataforma que automatizaba el envío de grandes cantidades de spam. Los usuarios que hacían clic en enlaces o archivos adjuntos maliciosos eran dirigidos a una página web que ejecutaba un script de automatización oculto que interactuaba con el proveedor de identidad de Microsoft en tiempo real para generar un código para inscribir un dispositivo perteneciente al atacante.
Microsoft ha señalado que EvilTokens representa un cambio significativo en la forma en que se comprometen y se manejan las cuentas después de ser comprometidas. Normalmente, los atacantes tardaban tiempo en revisar miles de correos electrónicos para ensamblar el organigrama de la organización, proveedores, clientes y otras relaciones con terceros. Esa carga se reduce considerablemente con herramientas asistidas por IA.
«Para las organizaciones, la lección es: asuman que una vez que una bandeja de entrada está comprometida, los criminales pueden entender su contenido en minutos, no días», advirtió Microsoft. «Las protecciones de identidad sólidas y la supervisión siguen siendo esenciales, pero las organizaciones también deben verificar de forma independiente las solicitudes para cambiar información de pago, redirigir fondos o aprobar transacciones inusuales a través de un segundo canal de confianza.»
Microsoft disrupts AI-assisted platform that compromised 12,000 accounts
Microsoft has announced the disruption of a subscription-based scam platform that used an artificial intelligence chatbot to compromise 12,000 Microsoft accounts over a period of a few months. The platform, called EvilTokens, was introduced via a Telegram channel in February, charging an initial fee of $1,500 and a recurring monthly charge of $500.
EvilTokens offered a comprehensive service to facilitate most of the steps necessary to compromise email accounts in large quantities. From there, the platform helped clients analyse inboxes, select targets with the highest potential for profit, and draft follow-up emails that provided realistic deceptions to induce company employees to transfer funds to accounts controlled by attackers.
"While EvilTokens helped cybercriminals access email accounts, at the heart of the service was an AI-style chatbot that could analyse a victim's inbox and help criminals identify trusted relationships, payment authorisations, and sensitive responsibilities, as well as other circumstances where fraud was more likely to succeed," Microsoft explained. "The platform could even recommend fraud strategies, including drafting messages that mimicked trusted contacts to help criminals deceive victims into taking action."
Users of EvilTokens compromised 12,000 customer accounts belonging to 10,000 organisations worldwide, with the highest concentration in the United States. Other affected countries include Canada, the United Kingdom, Australia, India, and France. Victim organisations included wholesale distribution, construction, financial services, real estate, higher education, and healthcare.
Using a legal process and a network of partners, Microsoft seized 50 websites and 150 more domains used to operate EvilTokens. The UK's Metropolitan Police Service arrested two men on suspicion of offences allegedly related to the criminal platform.
Account compromises were achieved through a legitimate OAuth process known as device code authentication, designed for input-constrained devices like televisions. In this model, the device presents a code and instructs the user to enter it in a browser on a separate device, which is then authenticated.
EvilTokens provided clients with a platform that automated the sending of large amounts of spam. Users who clicked on malicious links or attachments were directed to a webpage that executed a hidden automation script interacting with Microsoft's identity provider in real-time to generate a code to enrol a device belonging to the attacker.
Microsoft has noted that EvilTokens represents a significant shift in how accounts are compromised and managed after being compromised. Typically, attackers took time to review thousands of emails to assemble the organisation's org chart, vendors, clients, and other third-party relationships. That burden is significantly reduced with AI-assisted tools.
"For organisations, the lesson is: assume that once an inbox is compromised, criminals can understand its content in minutes, not days," Microsoft warned. "Strong identity protections and oversight remain essential, but organisations must also independently verify requests to change payment information, redirect funds, or approve unusual transactions through a second trusted channel."
¿Te ha interesado esta noticia?
Recibe cada mañana el resumen de IA y sociedad directo en tu email.
Suscríbete gratis →