Компания Microsoft пресекла работу платформы EvilTokens, которая использовалась для взлома 12 000 учетных записей в 10 000 организаций по всему миру. Сервис, запущенный в феврале через Telegram, взимал с клиентов первоначальный взнос в размере $1 500 и ежемесячную абонентскую плату $500.
Платформа применяла ИИ-чат-бот для анализа содержимого почтовых ящиков, поиска сотрудников с правом перевода средств и составления убедительных фишинговых писем. Инструмент мог обрабатывать до 5 000 писем одновременно, автоматизируя процесс подготовки атак и выявления наиболее выгодных целей.
Злоумышленники эксплуатировали процесс аутентификации OAuth, предназначенный для устройств с ограниченным интерфейсом. Жертвы переходили по вредоносным ссылкам, после чего скрипт взаимодействовал с Microsoft Entra для генерации кодов, которые пользователи вводили на поддельном портале, предоставляя доступ к своим аккаунтам.
В ходе операции Microsoft заблокировала 50 сайтов и 150 доменов, связанных с EvilTokens. Полиция Великобритании арестовала двух подозреваемых. Наибольшее число пострадавших организаций зафиксировано в США, за ними следуют Канада, Великобритания, Австралия, Индия и Франция.
Атаки затронули финансовый сектор, здравоохранение, строительство, недвижимость и образование. В Microsoft подчеркнули, что использование ИИ позволяет преступникам анализировать украденную переписку за минуты, что значительно сокращает время подготовки мошеннических операций.
