Фишинг услугата EvilTokens, която компрометира над 12 000 пощенски кутии в повече от 10 000 организации, беше неутрализирана от коалиция от правоприлагащи органи и партньори от частния сектор, водена от Microsoft.
С разрешение на Окръжния съд на САЩ за Източния окръг на Вирджиния, Microsoft и Health-ISAC си сътрудничиха с Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation и TRM Labs, за да изземат 50 уебсайта, използвани за опериране на услугата, и да деактивират над 150 домейна, свързани с нейната инфраструктура.
Microsoft уведоми засегнатите клиенти, помогна им да отстранят последствията от компрометираните акаунти и сподели разузнавателни данни в подкрепа на по-нататъшното разследване.
„Нито една организация не би могла да спре EvilTokens сама. Услугата разчиташе на хостинг доставчици, облачни услуги, AI инструменти, финансови услуги и други онлайн ресурси, които киберпрестъпниците пренасочиха за подпомагане на мащабни измами“, заяви Стивън Масада, заместник генерален съветник и генерален мениджър на звеното за цифрови престъпления на Microsoft (Digital Crimes Unit).
На 11 септември 2026 г. служители от отдела за борба с киберпрестъпленията към Столичната полиция на Лондон арестуваха двама мъже на 32 и 38 години по подозрение в престъпления, свързани с предполагаемото управление на EvilTokens. И двамата мъже са освободени под гаранция при спазване на определени условия, докато разследването продължава.
AI чатбот, който чете имейлите на жертвите
Стартирала през февруари 2026 г., услугата предоставя на престъпниците достъп до имейл акаунти заедно с AI чатбот, който анализира намереното в тях.
Жертвите са били подвеждани да въведат код за автентикация на легитимната страница за вход на Microsoft. Чрез завършването на тази стандартна стъпка те несъзнателно са предавали достъп, без да разкриват паролите си.
„Този достъп можеше да се запази дори след смяна на паролата, ако свързаните сесии и токени също не бяха отменени“, отбеляза Масада.
След като попадне в пощенската кутия, AI инструментите на услугата можели да обобщават и превеждат имейли, да извеждат финансови разговори, да картографират ролите в организацията и да идентифицират доверени връзки. Предварително зададени команди са предлагали намиране на дискусии за банкови преводи, откриване на фактури от доставчици, идентифициране на лицата, управляващи финансовите потоци в организацията, и определяне на най-подходящите хора за имитация. Платформата е можела също да съставя чернови на съобщения, представяйки се за доверени контакти.
Изкуственият интелект „им помагаше да решат към кого да се насочат и кого да имитират“, добави Масада.
Microsoft наблюдава най-висока концентрация на засегнати лица в САЩ, Канада, Обединеното кралство, Австралия, Индия и Франция. Засегнатите организации варират от дистрибуция на едро и строителство до финансови услуги, висше образование и здравеопазване.
„Продаван чрез Telegram срещу първоначална такса от 1500 долара и периодичен абонамент от 500 долара, EvilTokens съчетаваше компрометиране на акаунти, анализ на пощенски кутии, избор на мишена и подготовка на измама в една-единствена услуга. Възможности, които преди изискваха опит в атаки срещу самоличността, облачни системи, социално инженерство и финансови измами, вече бяха достъпни чрез готов интерфейс“, написа Масада.
Разследващите от Microsoft са използвали обратно инженерство и базирани на изкуствен интелект инструменти, за да анализират доказателствата и да идентифицират инфраструктурата, поддържаща услугата.
„Инфраструктурата, поддържаща EvilTokens, е разрушена, но моделът, който тя демонстрира, няма да изчезне с нея“, каза Масада. „EvilTokens предлага ранен пример за това как тези възможности могат да се комбинират с компрометирани акаунти за ускоряване на финансовите измами.“
Той посъветва организациите да приемат, че след като дадена пощенска кутия бъде компрометирана, престъпниците „могат да разберат съдържанието ѝ за минути“.
„Силната защита на автентикацията и мониторингът остават от съществено значение, но организациите трябва също така независимо да проверяват искания за промяна на платежна информация, пренасочване на средства или одобряване на необичайни трансакции чрез доверен втори канал“, заключи Масада.
- Cloudflare
- Coinbase
- cybercrime
- law enforcement
- Microsoft
- Microsoft 365
- OpenAI
- phishing
- Shadowserver
- SpyCloud