Microsoft провела операцию против EvilTokens — платформы, которая сочетала методы получения доступа к почтовым ящикам и подготовку мошеннических действий с использованием инструментов искусственного интеллекта. Компания связывает работу сервиса с более чем 12 тысячами скомпрометированных почтовых ящиков в более чем 10 тысячах организаций.
По описанию, злоумышленники вводили жертву в заблуждение, заставляя ввести код устройства на подлинной странице входа. В результате завершения такого входа преступники получали доступ к аккаунту жертвы, при этом пароль перед ними прямо не раскрывался. Речь шла об обходе процедур авторизации, а не о взломе криптографических механизмов OAuth.
После получения доступа злоумышленники использовали ИИ-инструменты для анализа переписки, выявления участников платёжных процессов и подготовки сообщений от имени доверенных контактов, что позволяло проводить целенаправленные финансовые мошенничества.
В рамках согласованных действий с партнёрами были выведены из строя 50 сайтов и отключены более 150 дополнительных доменов, связанных с инфраструктурой платформы. Также отмечены задержания двух человек в Великобритании; подозрение и продолжающееся расследование не равнозначны обвинительному приговору.
Microsoft предупреждает, что нарушение работы инфраструктуры не означает полного исчезновения схемы. Компания рекомендует дополнительно подтверждать необычные переводы и изменения платёжных реквизитов через второй, доверенный канал связи. В случае компрометации почты важно проверить активные сессии и токены авторизации наряду со сменой пароля.