Los atacantes iban un paso adelante — e la industria no lo sabía

Cuando los atacantes obtuvieron una herramienta de IA en sus manos

No pasó mucho tiempo desde que EvilTokens apareció en febrero de 2026 hasta que la plataforma causó daños reales. Según SecurityWeek, Microsoft finalmente logró desactivar el sistema de suplantación de identidad, pero para entonces ya había sido utilizado para comprometer más de 12 000 cuentas de correo electrónico en organizaciones de Estados Unidos, Canadá, Reino Unido, Australia, India y Francia.

Lo que hace a EvilTokens notable no es solo la escala, sino cómo funcionaba. La plataforma se basaba en lo que se conoce como suplantación de identidad con código de dispositivo, un método que explota flujos de inicio de sesión diseñados para dispositivos sin teclado tradicional, como televisores e impresoras. El atacante inicia un inicio de sesión, envía el código a la víctima mediante un mensaje engañoso, y si la víctima completa el flujo en su navegador web, el atacante obtiene acceso a la cuenta. No es necesario robar ninguna contraseña. No hay rastro de la manera habitual.

Pero lo que realmente eleva el nivel es que la IA se utilizó en toda la cadena de ataque. No solo para enviar correos masivos, sino para determinar quién valía la pena atacar, qué identidad debería imitarse y cómo se podrían aprovechar mejor las relaciones entre colegas para maximizar el beneficio. La plataforma ofrecía 44 temas diferentes para mensajes maliciosos y páginas. Ya no es spam en masa. Es fraude personalizado a escala industrial.

El punto ciego de la industria

Mientras los atacantes perfeccionaban sus herramientas, el Informe de Referencia de Ciberseguridad de Tecnología Operativa 2026 de Honeywell muestra que la defensa en muchos lugares está rezagada de manera preocupante, especialmente en infraestructura crítica.

De los 603 líderes que participaron en la encuesta, el 88 por ciento informó que sus programas de seguridad son maduros y bien estructurados. Sin embargo, solo el 21 por ciento tenía un inventario completo de sus activos tecnológicos. Es como afirmar que tienes control total de tu hogar, pero careces de un listado de las puertas y ventanas que tienes.

Las deficiencias también son evidentes en la supervisión. Solo un tercio de las organizaciones tenía su tecnología operativa completamente integrada en un centro de seguridad centralizado, y apenas una de cada cinco supervisaba continuamente más de tres cuartas partes de sus dispositivos conectados. Las consecuencias cuando algo sale mal son costosas: un promedio de 16,2 horas de inactividad en un incidente grave, y para el 21 por ciento de los afectados, un costo de más de 100 000 dólares por hora.

Es una brecha que es difícil pasar por alto.

IA como escudo, pero aún en manos humanas

Sin embargo, hay puntos positivos. El informe de Honeywell muestra que el 99 por ciento de los encuestados espera que la IA transforme el trabajo de seguridad en los próximos dos o tres años, y ya el 72 por ciento utiliza herramientas con soporte de IA para detectar anomalías e intrusiones potenciales.

Este es exactamente el tipo de movimiento que necesitamos ver más a menudo. La IA es excelente para encontrar patrones en grandes volúmenes de datos, exactamente lo que se requiere para detectar comportamiento inusual en entornos industriales complejos donde los analistas humanos se ahogan fácilmente en el ruido.

Pero el informe también subraya que los sistemas de seguridad completamente autónomos siguen siendo poco comunes. El ser humano sigue al mando, lo cual es prudente en este momento, pero plantea altos requisitos para que la competencia correcta esté realmente en su lugar.

Distinguir la amenaza real de la propaganda del miedo

En este contexto, vale la pena mantener la cabeza fría. STAT News nos recuerda que el debate sobre amenazas de IA a menudo corre el riesgo de confundir deficiencias concretas de seguridad con escenarios futuros más especulativos. EvilTokens es una amenaza real y documentada, no ciencia ficción. Pero también es una amenaza que en el fondo se trata de debilidades clásicas: inventario de activos deficiente, supervisión insuficiente y confianza humana en un mensaje bien redactado.

La IA amplifica estas debilidades dramáticamente. Pero somos nosotros quienes hemos dejado las puertas abiertas.

El nuevo panorama de amenazas, por lo tanto, no requiere solo mejor tecnología, sino que requiere que las organizaciones dejen de sobrestimar su propia madurez y comiencen a enfrentar la realidad tal como realmente es.