Después de EvilTokens, el threat model del correo cambia: defender el login no basta cuando el atacante puede razonar sobre toda la organización

El objetivo ya no es solo entrar al buzón, sino comprender la empresa. Business Email Compromise siempre explotó relaciones y procesos internos, pero la investigación sobre EvilTokens muestra una automatización mucho más profunda. Un atacante con acceso puede pedir a un sistema que encuentre quién aprueba transferencias, qué proveedores son frecuentes, qué lenguaje usa un director y cuándo se espera una factura. El buzón funciona como dataset de entrenamiento temporal sobre la organización. Esto cambia la prioridad defensiva. No basta medir cuántos intentos de phishing se bloquearon. Debemos preguntar cuánto daño puede producir una sesión comprometida antes de ser detectada y qué decisiones externas dependen todavía de información contenida en ese mismo canal.

La defensa necesita reducir el valor informacional del acceso. Una cuenta de correo corporativa suele contener años de conversaciones, firmas, documentos, calendarios y pistas sobre jerarquía. Cuanto mayor sea ese contexto, más fácil resulta modelar relaciones. Las organizaciones pueden aplicar retención razonable, clasificación, separación de secretos y políticas que impidan que información crítica permanezca indefinidamente en inboxes. No significa destruir memoria útil, sino evitar que el correo sea un data lake sin gobernanza. También conviene limitar aplicaciones con permisos amplios de lectura y revisar delegaciones. Si un atacante obtiene una identidad, la cantidad de contexto accesible determina cuánto puede aprender antes de que controles posteriores reaccionen.

La persistencia de sesión es tan importante como el password. Los ataques basados en tokens o flujos de autenticación legítimos demuestran que cambiar una contraseña puede ser insuficiente. Un playbook de respuesta debe revocar sesiones, invalidar refresh tokens, revisar dispositivos, aplicaciones autorizadas y reglas de forwarding. Además, los equipos necesitan telemetría que detecte cambios bruscos de comportamiento: búsquedas masivas, lectura de conversaciones antiguas, acceso desde nuevos contextos o patrones de exportación. La IA adversarial tiende a consumir mucha información para construir su mapa. Esa actividad puede convertirse en señal. No siempre será evidente, pero reduce la dependencia de detectar únicamente el mensaje fraudulento final, que puede ser casi perfecto.

Los procesos financieros deben desconfiar del canal que transporta la instrucción. Si un buzón comprometido puede generar mensajes convincentes basados en contexto real, pedir confirmación por email es circular. Cambios de cuenta bancaria, instrucciones de transferencia, nuevas condiciones de pago o urgencias excepcionales deben verificarse mediante un canal previamente registrado: teléfono conocido, aplicación interna, workflow de aprobación o firma criptográfica. El control no necesita ser pesado para toda operación. Puede activarse por riesgo y cambio. La clave es que el atacante no pueda controlar simultáneamente solicitud y verificación con la misma sesión. Esa separación reduce el valor de comprender perfectamente la conversación, porque la consecuencia final exige una autoridad diferente.

Los agentes internos también deben diseñarse bajo este threat model. Una empresa puede conectar legítimamente agentes al correo para resumir, responder o organizar trabajo. Esa comodidad amplía el impacto potencial de un token comprometido si el agente posee permisos para actuar. Conviene separar lectura, preparación y ejecución. Un agente puede identificar una factura y preparar una orden, pero otra identidad o política debe autorizar el pago. El mismo patrón protege contra errores del propio agente y contra atacantes que manipulen su contexto. Los permisos deben ser mínimos, de corta duración y por activo. El objetivo no es impedir que la IA use correo, sino impedir que comprensión y autoridad vivan en la misma credencial.

Implicación para Goatify. Goatify puede ofrecer un mailbox consequence firewall: una capa que permite a agentes comprender correo pero clasifica cualquier efecto derivado según riesgo. Acciones informativas pasan directo; cambios financieros, credenciales o comunicaciones sensibles requieren una señal externa y quedan registradas con la evidencia que las originó. También podemos simular compromisos con datasets sintéticos para demostrar qué relaciones descubre un atacante y dónde el proceso real detiene la cadena. Esa demo es más poderosa que una charla genérica de phishing porque enseña el nuevo peligro: el adversario no solo roba la cuenta, también puede entenderla. Nuestra defensa debe asumir que esa comprensión ocurrirá rápido.