Microsoft остановила ИИ-платформу EvilTokens после взлома 12 000 аккаунтов
Microsoft заявила во вторник, что возглавила отраслевую операцию по прекращению работы платформы EvilTokens, сервиса по подписке, который с февраля продавался через Telegram-канал и использовал ИИ-чат-бота для взлома почтовых аккаунтов Microsoft в промышленных масштабах. Подписка стоила $1500 разово плюс $500 в месяц.
Платформа автоматизировала почти все этапы атаки в одном сервисе: помогала анализировать содержимое взломанных почтовых ящиков, выбирать среди жертв тех, атака на кого сулит наибольшую выгоду, и составлять правдоподобные письма, которые подталкивали сотрудников компаний переводить деньги на счета, подконтрольные мошенникам.
По словам Microsoft, в центре сервиса был ИИ-чат-бот, который анализировал почту жертвы и помогал преступникам находить доверительные связи, платёжные полномочия и зоны ответственности сотрудников, то есть обстоятельства, при которых мошенничество скорее всего сработает. Чат-бот мог даже предлагать сами стратегии обмана, включая черновики писем от имени доверенных контактов.
Пользователи EvilTokens взломали 12 000 аккаунтов, принадлежащих 10 000 организаций по всему миру; больше всего пострадавших, в США, за ними следуют Канада, Великобритания, Австралия, Индия и Франция. Среди жертв, компании из сфер оптовой торговли, строительства, финансовых услуг, недвижимости, высшего образования и здравоохранения.
В операции по отключению платформы, которая опиралась на судебный процесс и сеть партнёров, Microsoft изъяла 50 сайтов и ещё 150 доменов, использовавшихся для работы EvilTokens. Полиция Лондона (Metropolitan Police Service) арестовала двух мужчин по подозрению в преступлениях, связанных с этой платформой. В расследовании также участвовала охранная фирма SpyCloud.
Взлом аккаунтов происходил через легитимный механизм OAuth, авторизацию по коду устройства (device code authentication), которая изначально создана для телевизоров и других устройств с ограниченным вводом, не позволяющим пройти обычный вход. В этой схеме устройство показывает код и просит ввести его в браузере на другом устройстве, после чего новое устройство считается авторизованным.
Ключевые факты
- Microsoft возглавила отраслевую операцию против EvilTokens, платформы-подписки для взлома почты, которая работала с февраля через Telegram-канал.
- Подписка стоила $1500 разово и $500 в месяц; сервис использовал ИИ-чат-бота для анализа писем жертв и подготовки фишинговых сообщений.
- Взломано 12 000 аккаунтов в 10 000 организаций по всему миру, больше всего, в США, далее Канада, Великобритания, Австралия, Индия и Франция.
- Microsoft изъяла 50 сайтов и 150 доменов платформы; полиция Лондона арестовала двух подозреваемых.
- Взлом строился на легитимном механизме OAuth, авторизации по коду устройства, придуманной для телевизоров и похожих устройств с ограниченным вводом.
Почему это важно
EvilTokens, пример того, как генеративный ИИ встраивается прямо в инструментарий массового мошенничества: сервис продавался по подписке как готовый продукт, а ИИ-чат-бот брал на себя анализ переписки жертвы, выбор цели и написание убедительных писем. Это снижает порог входа для сложных схем компрометации деловой переписки (BEC), раньше такая подготовка требовала времени и навыка, теперь её делает чат-бот.
Кому это важно
Компаниям и IT-администраторам, использующим корпоративные аккаунты Microsoft, особенно в отраслях, которые Microsoft называет среди жертв: оптовая торговля, строительство, финансовые услуги, недвижимость, высшее образование, здравоохранение. Важно и специалистам по безопасности, отвечающим за настройки OAuth и вход по коду устройства.
Как это применить
Организациям стоит проверить, используется ли в их инфраструктуре авторизация по коду устройства (device code authentication), и ограничить или отключить её там, где она не нужна, это конкретный технический вектор, которым пользовалась платформа. Также имеет смысл насторожить сотрудников, отвечающих за платежи, в отношении писем, имитирующих доверенных контактов.
Можно ли доверять
Материал основан на официальном заявлении Microsoft, которое приводит цитаты и цифры компании; в операции также подтверждённо участвовали охранная фирма SpyCloud и полиция Лондона, произведшая аресты. При этом источник не называет ни имена арестованных, ни модель или поставщика ИИ, лежащего в основе чат-бота, ни общую сумму финансового ущерба от мошенничества.
Риски и подводные камни
Отключение платформы, это изъятие конкретных сайтов и доменов, а не устранение самой техники: авторизация по коду устройства как вектор атаки никуда не делась, и её может повторить любая другая группа. Источник не приводит данных о том, сколько времени EvilTokens действовала до пресечения и появились ли за это время аналогичные сервисы.
«Хотя EvilTokens помогала киберпреступникам получать доступ к почтовым аккаунтам, в центре сервиса был ИИ-чат-бот, который мог анализировать почту жертвы и помогать преступникам находить доверительные отношения, платёжные полномочия и зоны ответственности, а также другие обстоятельства, при которых мошенничество с наибольшей вероятностью могло сработать.»
— Microsoft