Подразделение Microsoft по борьбе с киберпреступностью ликвидировало инфраструктуру платформы EvilTokens, известной внутри компании как Storm-2992. Сервис скомпрометировал более 12 000 учетных записей Microsoft 365 в 10 000 организаций по всему миру.
Двое администраторов из Великобритании в возрасте 32 и 38 лет были арестованы при содействии Health-ISAC, компании SpyCloud и правоохранительных органов. Подозреваемые отпущены под залог на время продолжающегося расследования.
Платформа, запущенная в Telegram в середине февраля 2026 года, обходила многофакторную аутентификацию через механизм авторизации устройств. Жертвы вводили сгенерированные злоумышленниками коды, предоставляя им постоянные OAuth-токены для доступа к аккаунтам.
По данным SpyCloud, атаки затронули 8 708 аккаунтов в 6 585 доменах из 79 стран. После появления сервиса количество фишинговых атак с использованием кодов устройств, согласно телеметрии Huntress, выросло на 1380%.
Подписка на сервис стоила от $600 до $1 500. За эту сумму клиенты получали ИИ-инструменты для создания фишинговых сообщений и автоматизации компрометации деловой переписки, что позволяло имитировать стиль общения для кражи данных или денег.
