El desmantelamiento de EvilTokens expone una nueva realidad del cibercrimen: los atacantes ya no solo necesitan crear amenazas, también pueden reconstruirlas rápidamente gracias a la IA, la infraestructura de bajo coste y los servicios descentralizados.
Cerrar una plataforma de phishing puede parecer una victoria contundente. Pero ¿qué ocurre cuando quienes están detrás pueden reconstruirla en cuestión de días?
El caso de EvilTokens, una plataforma de phishing como servicio (PhaaS) recientemente desmantelada por Microsoft, pone sobre la mesa un desafío cada vez más complejo para las organizaciones: la infraestructura del cibercrimen está evolucionando para resistir las interrupciones.
Microsoft vinculó EvilTokens con más de 12.000 buzones de Microsoft 365 comprometidos en más de 10.000 organizaciones. La plataforma utilizaba técnicas de phishing mediante códigos de dispositivo para aprovechar procesos legítimos de autenticación y engañar a las víctimas hasta conseguir acceso a sus cuentas.
Pero el verdadero problema podría estar en lo que sucede después de su desmantelamiento.
EvilTokens: cuando el phishing se convierte en un servicio
EvilTokens funcionaba bajo un modelo que ya es habitual en el ecosistema criminal: el Phishing-as-a-Service. En lugar de que cada atacante tenga que desarrollar desde cero sus propias herramientas, estas plataformas proporcionan infraestructura y capacidades listas para lanzar campañas de phishing.
En este caso, una de las técnicas empleadas fue el phishing mediante código de dispositivo, que abusa de un flujo legítimo de autenticación diseñado originalmente para dispositivos con interfaces limitadas, como televisores inteligentes, impresoras o sistemas de videoconferencia.
El usuario recibe un código y debe introducirlo desde otro dispositivo para completar la autenticación. Para el atacante, este proceso abre una oportunidad: mediante ingeniería social, puede presentar una solicitud maliciosa como si fuera un procedimiento legítimo de inicio de sesión.
El resultado es especialmente relevante porque la víctima puede estar interactuando con un flujo de autenticación real, mientras el atacante intenta aprovechar ese proceso para obtener acceso.
El nuevo acelerador del cibercrimen: la IA
El desmantelamiento de EvilTokens también revela otra tendencia que está cambiando el ritmo al que evolucionan las amenazas: la utilización de herramientas de inteligencia artificial para desarrollar código.
Cuando una plataforma criminal queda fuera de servicio, tradicionalmente reconstruir su infraestructura requería tiempo, conocimientos técnicos y recursos. Las herramientas de codificación asistida por IA pueden reducir algunas de esas barreras.
Esto no significa que la IA cree automáticamente una operación criminal completa. Significa que determinadas tareas de desarrollo pueden realizarse más rápido y con menor esfuerzo, facilitando que los atacantes reemplacen componentes que han sido identificados y neutralizados.
Y ahí aparece un cambio importante: la infraestructura criminal comienza a comportarse como un sistema resiliente.
Si una plataforma cae, otra puede ocupar su lugar.
Blockchain, infraestructura distribuida y bajos costes: una combinación difícil de perseguir
La evolución no termina en la IA. Los operadores criminales también recurren a infraestructura de bajo coste y mecanismos descentralizados que pueden dificultar la identificación y el seguimiento de los recursos utilizados durante una campaña.
Esto crea una situación complicada para los defensores. Incluso cuando una infraestructura es localizada y desactivada, el coste de reemplazarla puede ser suficientemente bajo como para que la operación continúe bajo una nueva forma.
Por eso, el desmantelamiento de EvilTokens resulta relevante más allá de la propia plataforma: muestra que combatir el cibercrimen ya no consiste únicamente en encontrar un servidor y apagarlo.
Se trata de identificar y afectar todo el ecosistema que permite que estas operaciones continúen.
¿Significa esto que los desmantelamientos ya no funcionan?
No. Interrumpir plataformas criminales sigue siendo una herramienta importante para reducir la capacidad operativa de los atacantes.
El desafío es que una operación aislada puede tener un efecto temporal si no se acompaña de acciones contra otros elementos de la cadena: infraestructura, proveedores, credenciales comprometidas, canales de distribución y servicios utilizados para facilitar los ataques.
El caso de EvilTokens deja precisamente esa lección: el objetivo no debería ser únicamente derribar una plataforma, sino dificultar que el ecosistema pueda reconstruirse inmediatamente después.
La IA está acelerando la capacidad de desarrollo. Los servicios en la nube reducen los costes de infraestructura. Los modelos PhaaS permiten que más actores accedan a herramientas sofisticadas. Y las técnicas de autenticación legítimas pueden convertirse en nuevas superficies de ataque.
El resultado es un escenario donde detener una amenaza puede ser más fácil que evitar que aparezca su reemplazo.
Para las organizaciones, esto refuerza la necesidad de no depender exclusivamente de las acciones de desmantelamiento. La protección debe asumir que las campañas pueden reaparecer, cambiar de infraestructura y utilizar nuevas técnicas.
Porque en la nueva economía del cibercrimen, derribar al atacante una vez no garantiza que no vuelva a intentarlo mañana.
