EvilTokens: la IA que le robó Microsoft 365 a más de 340 empresas (y cómo no ser el siguiente)

Imagínate que te llega un correo de DocuSign con tu nombre, tu puesto, referenciando un contrato que estás manejando esta semana, pidiéndote que valides tu identidad. Le das clic, te lleva a una página legítima de Microsoft, metes tu código, haces tu MFA desde tu celular… y en ese momento le acabas de regalar acceso completo a tu cuenta al atacante. Sin que haya hecho nada técnicamente ilegal. Sin que ningún antivirus lo detecte. Sin que tu empresa se entere hasta días después.

Eso es exactamente lo que está pasando con EvilTokens, el toolkit de phishing-as-a-service que Microsoft documentó el 6 de abril en su Security Blog y que ya comprometió a más de 340+ organizaciones en 5 países (US, Canadá, Australia, Nueva Zelanda, y Alemania). Y desde mediados de marzo están cayendo cientos de empresas diarias.

Qué es EvilTokens y por qué es diferente al phishing de siempre

EvilTokens no es el típico correo de “haz clic aquí para ver tu paquete de FedEx”. Es un kit de phishing vendido como servicio, con bots de Telegram, soporte 24/7, tres planes de precios, y lo que lo hace diferente a todo lo anterior: usa IA generativa para personalizar cada ataque al rol específico de la víctima.

¿Trabajas en manufactura? Te llega un phishing sobre workflows de producción. ¿Estás en finanzas? Es una factura urgente que necesita aprobación. ¿En compras? Un RFP de un proveedor conocido. La IA no manda el mismo correo a todos: genera un pretexto que tiene sentido para ti en particular.

El vector de ataque es el flujo de autenticación de código de dispositivo (OAuth 2.0 Device Authorization Grant). Este flujo existe porque hay dispositivos, como televisiones inteligentes o impresoras, que no tienen teclado para hacer login. El proceso normal es: el dispositivo te da un código corto, tú vas a microsoft.com/devicelogin desde otro dispositivo, metes el código, haces tu MFA, y ya.

Los atacantes lo voltearon: ellos generan el código del dispositivo, te mandan el phishing para que vayas a esa página legítima de Microsoft, tú metes el código (que es el de ellos), completas el MFA en la página real de Microsoft… y el token de acceso llega directo a los atacantes. La víctima hace todo el trabajo sola.

Por qué tu MFA no te protege aquí

Este es el punto que más importa entender. El MFA fue diseñado para proteger contra que alguien robe tu contraseña y la use desde otro lugar. No para este escenario, donde tú mismo completas la autenticación.

Cuando metes tu huella dactilar, tu código de SMS o tu llave de hardware en la página real de Microsoft, el sistema registra que fue autenticado correctamente. El problema es que el código de dispositivo que usaste le pertenece al atacante. Entonces Microsoft le entrega el access token al atacante, junto con un refresh token de larga duración que puede usar por semanas o meses sin necesitar autenticarse de nuevo.

The Hacker News documentó en marzo la arquitectura completa de la operación: email personalizado por IA, cadena de redirecciones a través de plataformas legítimas como Vercel, Cloudflare Workers, Railway.com y AWS Lambda, y finalmente la página de devicelogin de Microsoft donde la víctima se clocha sola.

El uso de Vercel y Cloudflare Workers no es casualidad. El tráfico de *.vercel.app y *.workers.dev se mezcla perfectamente con el tráfico legítimo de empresas que usan esas mismas plataformas. Los filtros de email y firewalls los ven y dicen: “parece legítimo, adelante.”

El nivel de sofisticación: reconocimiento 10 días antes del ataque

Lo que reveló Microsoft es que la operación empieza entre 10 y 15 días antes del phishing real. Los atacantes consultan la API GetCredentialType de Microsoft para verificar qué correos corporativos están activos. Es como levantar un padrón de quién sí existe en la empresa antes de lanzar la campaña.

Desde el 15 de marzo, Microsoft ha detectado entre 10 y 15 campañas distintas lanzándose cada 24 horas, con cientos de compromisos diarios. No es un actor aislado: es una plataforma que múltiples grupos criminales están usando al mismo tiempo.

Cuando logran acceso, van directo a cuentas de finanzas. Automatizan la exfiltración de correos, crean reglas de reenvío para mensajes que contengan palabras como “payroll” o “invoice”, y en algunos casos registran un nuevo dispositivo en la cuenta en menos de 10 minutos para mantener acceso persistente aun si les revocan el token original.

A quién están atacando (y qué tan relevante es para México)

Los sectores documentados incluyen manufactura, servicios financieros, construcción, ONG, bienes raíces, salud, servicios legales y gobierno local. No están yendo por empresas de tecnología. Están yendo por empresas con M365 que manejan dinero real o datos valiosos.

México tiene miles de empresas en exactamente esos sectores usando Microsoft 365: despachos contables, corporativos manufactureros en el Bajío, constructoras, hospitales privados, despachos de abogados. Ninguna aparece en los reportes publicados porque probablemente no lo saben, o porque Microsoft tiene más telemetría en los países más desarrollados. Eso no significa que no estén siendo atacadas.

Y como ya vimos en cómo están usando perros robot y seguridad con IA para proteger data centers en EUA, la brecha entre cómo las big tech protegen sus infraestructuras y cómo lo hace una pyme mexicana promedio es enorme. Y EvilTokens explota exactamente esa brecha.

Checklist concreto para no caer

Microsoft, Sekoia y los investigadores de Help Net Security publicaron recomendaciones específicas. Estas son las más accionables:

Para admins de Microsoft Entra ID (antes Azure AD):

• Deshabilitar el flujo de código de dispositivo en Conditional Access si tu organización no usa dispositivos IoT, televisiones o impresoras que lo requieran. Si no lo usas, no hay razón para tenerlo activo
• Revisar logs de inicio de sesión buscando IPs de Railway.com (162.220.234.41, 162.220.234.66 entre otras)
• Revocar refresh tokens de usuarios sospechosos de inmediato, no solo el access token
• Activar alertas para registro de nuevos dispositivos fuera de horario laboral o desde ubicaciones inusuales

Para usuarios finales:

• Si un correo de DocuSign, Adobe Acrobat o cualquier plataforma te pide que vayas a microsoft.com/devicelogin y metas un código, para un momento. Pregúntate: ¿yo inicié este proceso desde un dispositivo sin teclado? Si la respuesta es no, es phishing
• Siempre verifica el dominio del correo remitente, no el link en sí
• El flujo legítimo de devicelogin siempre muestra el botón “Cancelar” de forma visible. Si ese proceso se ve diferente o más urgente de lo normal, sal

Para CISOs y líderes de TI:

• Hagan simulacros de phishing de device code. La mayoría del personal de cualquier empresa no sabe que este vector existe
• Monitoreen los logs de OAuth buscando tokens emitidos fuera del horario de trabajo
• Implementen alertas para exfiltración masiva de correos inmediatamente después de un login nuevo

La neta, muchas empresas mexicanas ni siquiera tienen un admin dedicado revisando esos logs. Y eso es exactamente el perfil de víctima ideal para EvilTokens.

La IA como arma de doble filo

Lo que hace diferente a EvilTokens de todo lo anterior es que la IA ya no está solo del lado defensivo. Como exploramos en nuestra comparativa de los principales servicios de IA en 2026, estos modelos son muy capaces de generar texto convincente y personalizado a escala. Lo que cambió es que alguien empaquetó ese poder en una plataforma criminal con bots de Telegram y planes de suscripción.

Antes, un ataque de spear phishing bien ejecutado requería horas de investigación manual por víctima. Ahora la IA lo hace en segundos y EvilTokens lo automatiza a escala industrial. Desde el lado del “negocio” criminal, es una pasada, tío: automatizado, escalable, y con bypass de MFA incluido.

La buena noticia es que los controles técnicos existen. El device code flow se puede deshabilitar hoy mismo. Los logs se pueden monitorear. Las alertas se pueden configurar. La mala noticia es que requiere que alguien en tu empresa sepa que esto existe y lo haga antes de que llegue el correo.

¿Tu empresa ya deshabilitó el device code flow en Azure? ¿Ni sabías que estaba habilitado? Ese es exactamente el pedo. Deja en comentarios si tu empresa ya tiene esto configurado o si apenas estás enterando a tu equipo de TI.

Fuentes

• Inside an AI-enabled device code phishing campaign - Microsoft Security Blog
• Device Code Phishing Hits 340+ Microsoft 365 Orgs - The Hacker News
• Hundreds of orgs compromised daily in Microsoft device code phishing attacks - The Register
• EvilTokens ramps up device code phishing - Help Net Security
• New widespread EvilTokens kit: device code phishing as-a-service - Sekoia