Ciudad de México, 23 de septiembre de 2026.— Cloudflare, empresa líder en conectividad cloud, informó que Cloudforce One, su equipo de investigación e inteligencia de amenazas, colaboró con Microsoft, autoridades y otros actores de la industria en una operación global para interrumpir la infraestructura de EvilTokens, una plataforma de phishing como servicio diseñada para evadir la autenticación multifactor y facilitar fraudes mediante el compromiso del correo electrónico empresarial, conocido como Business Email Compromise o BEC.
EvilTokens proporcionaba a ciberdelincuentes acceso a un panel web que automatizaba la obtención de tokens utilizados para autenticar cuentas de Microsoft Office 365. Este mecanismo permitía tomar control de buzones corporativos y mantener el acceso incluso después de que expirara un token de sesión.
De acuerdo con la investigación de Cloudforce One, la plataforma afectó a miles de usuarios en el mundo y ocasionó pérdidas financieras significativas mediante campañas de BEC, una modalidad de fraude en la que los atacantes se hacen pasar por proveedores, directivos o contactos de confianza para solicitar pagos, modificar datos bancarios o intervenir conversaciones comerciales.
EvilTokens comenzó a operar en Telegram en enero de 2026 y comercializaba el acceso a una infraestructura profesionalizada para desarrollar campañas de phishing. Además de automatizar distintas etapas del ataque, incorporaba un asistente de inteligencia artificial que orientaba a los delincuentes sobre documentos fiscales de Estados Unidos, formatos habituales de facturas y correspondencia contable, así como tácticas relacionadas con el fraude por correo empresarial.
La plataforma también utilizaba dominios y proyectos de Cloudflare Workers para ejecutar parte de su lógica maliciosa, recopilar credenciales y configurar páginas de phishing. Sus desarrolladores empleaban diferentes técnicas para ocultar sus scripts, evadir la detección y prolongar la operación de la infraestructura.
El caso muestra cómo los modelos de phishing como servicio reducen las barreras de entrada al cibercrimen: los atacantes ya no necesitan desarrollar toda la infraestructura técnica, pues pueden contratar herramientas que automatizan procesos y les ayudan a construir engaños más convincentes.
El 15 de septiembre de 2026, Cloudforce One se sumó a una operación coordinada para desmantelar la infraestructura de EvilTokens desde los frentes legal y técnico.
Microsoft inició una acción civil en Estados Unidos para solicitar a registradores internacionales la suspensión de los dominios maliciosos y transferir su control a la Unidad de Delitos Digitales de la compañía. Paralelamente, la investigación de Cloudforce One permitió identificar la infraestructura completa de dominios y cientos de cuentas de Cloudflare utilizadas por clientes de EvilTokens.
Como parte de la intervención, Cloudflare:
Estas advertencias impiden que las personas accedan a los sitios de phishing, neutralizando el ataque incluso cuando el dominio continúa técnicamente activo.
Cloudflare recomienda adoptar mecanismos de autenticación resistentes al phishing, como llaves físicas o passkeys basadas en FIDO2/WebAuthn; restringir el acceso a dispositivos corporativos administrados; reducir la duración de las sesiones; y revocar accesos cuando se detecten cambios inusuales de ubicación, dirección IP o nivel de riesgo.
También aconseja reforzar la seguridad del correo electrónico mediante filtrado DNS, análisis de enlaces, políticas estrictas de DMARC, SPF y DKIM, y herramientas que utilicen aprendizaje automático para identificar infraestructura y patrones asociados con campañas maliciosas.
Cloudflare ofrece además Retro Scan, una herramienta gratuita para cualquier organización, sea o no cliente de la compañía. La solución utiliza modelos predictivos de inteligencia artificial para revisar mensajes existentes en los buzones, detectar posibles amenazas y facilitar su remediación.
La operación contra EvilTokens demuestra que la autenticación multifactor convencional ya no es suficiente por sí sola. Frente a plataformas que combinan automatización, infraestructura bajo demanda e inteligencia artificial, las organizaciones necesitan una estrategia de protección que integre identidad, correo electrónico, dispositivos y redes.
Consulta la investigación completa en el siguiente enlace:
Cloudflare participa en una operación global contra EvilTokens
", "header": { "large": "https://cdn.uc.assets.prezly.com/4980883e-b3e0-475c-bf01-a83fd05d27b4/-/preview/1200x1200/-/format/auto/", "release": "https://cdn.uc.assets.prezly.com/4980883e-b3e0-475c-bf01-a83fd05d27b4/-/preview/1200x1200/-/format/auto/" }, "attachments": [ { "description": "", "extension": "docx", "url": "https://cdn.uc.assets.prezly.com/c219f0c4-7649-42ec-80fe-dec5b950cae9/-/inline/no/cloudflaresep26cloudforce-one-microsoft.docx" }, { "description": "", "extension": "pdf", "url": "https://cdn.uc.assets.prezly.com/494153d8-83e3-4546-b453-d7359155d09a/-/inline/no/cloudflaresep26cloudforce-one-microsoft.pdf" } ], "contacts": [ { "name": "Elina Ambriz", "company": "another", "description": "Account Executive Senior", "email": "elina.ambriz@another.co", "website": null, "address": null, "telephone": null, "mobile": null, "twitter": null, "facebook": null, "linkedin": null, "instagram": null }, { "name": "Larissa Moran", "company": "another", "description": "Account Executive", "email": "larissa.moran@another.co", "website": null, "address": null, "telephone": null, "mobile": null, "twitter": null, "facebook": null, "linkedin": null, "instagram": null } ], "author": { "first_name": "Elina", "last_name": "Ambriz Valencia" }, "format_version": 5 }