Microsoft documentó kits de suplantación que enviaron 100.000 correos en un día y cosecharon tokens de acceso mediante técnicas AiTM — el patrón revela infraestructura compartida entre múltiples actores
Microsoft Threat Intelligence publicó esta semana una investigación sobre campañas de phishing y malvertising que suplantan plataformas de inteligencia artificial — ChatGPT, Microsoft Copilot, DeepSeek y Claude — para robar credenciales, datos de pago y distribuir malware. Una de las campañas temáticas de ChatGPT alcanzó un volumen de hasta 100.000 correos electrónicos en un solo día, dirigidos a usuarios de ChatGPT Plus con el objetivo de cosechar información de tarjetas de crédito. El patrón no representa una vulnerabilidad en los servicios de IA mencionados: es suplantación de identidad clásica con un envoltorio actualizado, aprovechando la confianza y la curiosidad que generan estas plataformas en usuarios corporativos y consumidores.
El kit de phishing que imita actualizaciones de pago de ChatGPT Plus
Investigadores de Microsoft identificaron un kit de phishing diseñado específicamente para cosechar datos de tarjetas de crédito mediante correos que simulan notificaciones de actualización de información de pago de ChatGPT Plus. Los mensajes utilizan técnicas de urgencia — alertas sobre vencimiento de suscripción o problemas de facturación — para reducir el umbral de sospecha del destinatario. El volumen de 100.000 correos en un día indica infraestructura automatizada y capacidad de distribución masiva, no un ataque artesanal.
En paralelo, Microsoft documentó una campaña temática de Claude que cosechó credenciales y tokens de acceso mediante técnicas de adversario en el medio (AiTM, por adversary-in-the-middle). Esta variante intercepta el flujo de autenticación entre el usuario y el servicio legítimo, capturando no solo la contraseña sino también el token de sesión, lo que permite al atacante eludir la autenticación multifactor. La combinación de phishing de credenciales y captura de tokens convierte estas campañas en vectores de acceso inicial persistente, no en intentos aislados de robo de datos.
Malvertising y repositorios falsos — la distribución más allá del correo
Microsoft observó publicidad maliciosa (malvertising) que promocionaba un falso plugin de IA para Windows, el cual entregaba el stealer Vidar — una familia de malware conocida por exfiltrar credenciales almacenadas, datos de navegadores y archivos de configuración. La campaña utilizó cadenas de redirección y dominios desechables para evadir filtros de reputación en el momento de la entrega, activando el payload solo cuando el usuario hacía clic en el enlace.
Además, se distribuyeron instaladores fraudulentos de DeepSeek a través de GitHub, aprovechando la percepción de que los repositorios públicos de código son fuentes confiables. Este vector es particularmente efectivo en entornos técnicos, donde desarrolladores y analistas buscan herramientas de IA de código abierto o versiones no oficiales de modelos recientes. La presencia de estos instaladores en GitHub indica que los atacantes están diversificando canales de distribución más allá del correo electrónico y la publicidad tradicional.
Storm-3075 y la commoditización del acceso inicial temático de IA
Microsoft rastreó al broker de acceso inicial Storm-3075 utilizando malvertising temático de IA para distribuir payloads a múltiples actores posteriores. Un broker de acceso inicial es un actor que se especializa en comprometer sistemas y vender ese acceso a otros grupos — ransomware, espionaje, fraude financiero — que ejecutan la fase de explotación. La participación de Storm-3075 en campañas temáticas de IA señala que este vector ya está siendo commoditizado en el ecosistema criminal: no es un experimento de un grupo aislado, sino una técnica que se ofrece como servicio a terceros.
Este patrón tiene implicancias directas para América Latina, donde la adopción de herramientas de IA generativa en sectores financiero, salud y gobierno creció de manera acelerada en el último año. Organizaciones en México, Brasil, Colombia y Argentina que implementaron ChatGPT, Copilot o Claude para automatización de procesos internos enfrentan ahora un vector de ataque que explota la familiaridad de sus empleados con estas plataformas. No se trata de un riesgo hipotético: la infraestructura de phishing documentada por Microsoft opera a escala global, y la ausencia de datos específicos sobre incidentes en la región no implica inmunidad — implica que los casos locales probablemente no se están reportando o correlacionando con estas campañas internacionales.
Por qué las defensas tradicionales de correo no alcanzan
Las campañas documentadas por Microsoft comparten una característica técnica: utilizan cadenas de redirección multietapa, dominios de corta vida y activación retardada de payloads. Un correo puede pasar los filtros de reputación en el momento de la entrega porque el enlace apunta a un dominio legítimo o neutral; la redirección a infraestructura maliciosa ocurre solo cuando el usuario hace clic, horas o días después. Ese desfase temporal invalida las defensas que solo escanean en el momento de recepción del mensaje.
Microsoft señala que las organizaciones que evalúan cada señal de manera aislada — un correo sospechoso, un clic en un enlace, una descarga inusual, un inicio de sesión desde una ubicación nueva — siempre van un paso atrás. Las campañas temáticas de IA no son incidentes de una sola superficie: comienzan como correo, se convierten en enlace malicioso, desencadenan una descarga sospechosa y terminan como compromiso de identidad o endpoint. La correlación de señales entre correo, identidad, endpoint y aplicaciones SaaS es lo que permite detectar el patrón completo antes de que el atacante consolide acceso.
Nuestro análisis
Lo que estas campañas revelan no es una nueva técnica de ataque — es la actualización del envoltorio de técnicas que llevan décadas funcionando. La suplantación de identidad, la urgencia artificial y la impersonación de marcas conocidas son constantes en phishing desde antes de que existiera el correo electrónico masivo. Lo que cambió es el contexto: en 2026, un mensaje sobre una actualización de política de Copilot o un nuevo modelo de Claude genera el mismo reflejo de clic que en 2015 generaba una notificación de envío de DHL o una factura pendiente de pago.
El patrón de Storm-3075 distribuyendo acceso inicial a múltiples compradores indica que el mercado de acceso ya validó la efectividad de los lures temáticos de IA. Eso significa que el volumen de estas campañas va a crecer, no a disminuir, en los próximos meses. La pregunta para las organizaciones en América Latina no es si van a recibir estos correos — probablemente ya los están recibiendo — sino si tienen capacidad de correlacionar la cadena completa de eventos que va desde el clic hasta el movimiento lateral en la red, antes de que el atacante convierta acceso inicial en exfiltración de datos o despliegue de ransomware. ¿Cuántas organizaciones en la región están correlacionando señales de correo, identidad y endpoint en tiempo real, en lugar de revisar logs de manera reactiva después del incidente?