EvilTokens: когато AI помага на фишинга да изглежда като реална бизнес комуникация

Какво се случи

Microsoft съобщи, че заедно с партньори е прекъснала ключова инфраструктура на EvilTokens — платформа за киберпрестъпност, която е използвала AI за подготовка и провеждане на фишинг атаки.

Според Microsoft EvilTokens е свързана с компрометиране на над 12 000 пощенски кутии в повече от 10 000 организации по света. Cloudflare също потвърждава участието си в операцията и описва вграден AI помощник, който е насочвал престъпници как да създават по-убедителни измами с фактури, данъчни документи и бизнес имейли.

Защо темата е важна

EvilTokens не е просто поредният фишинг инструмент. Платформата е комбинирала няколко елемента: кражба на акаунти, анализ на компрометирани пощенски кутии, избор на ценни цели и подготовка на измами с плащания.

AI тук не “прави магия”. Той помага на нападателите да работят по-бързо и по-убедително. Например може да анализира пощенска кутия, да открие доверени контакти, финансови процеси, одобрения и подходящ момент за измама.

Това прави атаките по-трудни за разпознаване, защото съобщението може да изглежда като част от реална бизнес комуникация.

Какво трябва да проверят организациите

Практически проверки:

• има ли защита срещу кражба на токени и device code phishing;
• следят ли се необичайни входове в Microsoft 365 акаунти;
• има ли аларми за нови устройства, нови сесии и необичайни локации;
• проверяват ли се правила за препращане на имейли;
• има ли контрол върху промени в пощенски кутии и делегирани права;
• обучени ли са финансовите екипи да проверяват промени в IBAN, фактури и плащания по втори канал;
• има ли процес за бързо прекратяване на активни сесии и смяна на пароли;
• наблюдават ли се компрометирани акаунти за последващи измами.

DIAMATIX коментар

От гледна точка на DIAMATIX този случай показва защо защитата на идентичността и пощенските кутии вече е част от бизнес устойчивостта.

Когато атакуващият влезе в реална пощенска кутия, той не се нуждае от груб фишинг. Може да прочете контекста, да разбере кой одобрява плащания, кои партньори са доверени и как изглежда нормалната комуникация.

SOC (Security Operations Center — център за операции по сигурността) и MDR (Managed Detection and Response — управлявано откриване и реакция) процесите трябва да свързват сигнали от акаунти, имейл, крайни устройства, облачни услуги и бизнес процеси. Само така може да се открие разликата между нормална поща и подготвена измама.

AI ще прави фишинга по-бърз и по-персонализиран. Защитата трябва да отговори с по-добра видимост, контрол на достъпа и ясни процедури при съмнителни плащания.

Проверете дали пощенските акаунти не са сляпа зона

DIAMATIX може да помогне с оценка на Microsoft 365 сигурността, контрола на достъпа, видимостта върху акаунти и готовността за реакция при фишинг, кражба на токени и измами с бизнес имейл.

Заявете преглед на identity и email security риска с DIAMATIX.
Trusted · Innovative · Vigilant

Източници

• Microsoft. Disrupting EvilTokens: The AI Chatbot Built for Cybercrime.
• Microsoft Security Blog. Unmasking EvilTokens: Getting to the root of device code phishing.
• Cloudflare. Cloudflare participates in global operation to disrupt EvilTokens Phishing-as-a-Service.
• Help Net Security. Microsoft disrupts EvilTokens phishing service that gave criminals access to 12,000 inboxes.
• BleepingComputer. EvilTokens PhaaS disrupted after compromising 12,000 Microsoft accounts.

Информацията е обобщена на база публично достъпни източници към септември 2026 г.