شرکت مایکروسافت از متلاشی شدن یک پلتفرم اشتراکی کلاهبرداری به نام EvilTokens خبر داد. این پلتفرم با بهره‌گیری از یک چت‌بات مبتنی بر هوش مصنوعی (AI)، توانست طی چند ماه ۱۲,۰۰۰ حساب کاربری مایکروسافت را در ۱۰,۰۰۰ سازمان مختلف در سراسر جهان به مخاطره بیندازد.
مدل کسب‌وکار و عملکرد EvilTokens
این پلتفرم که از طریق کانال تلگرام عرضه شده بود، با دریافت مبلغ اولیه ۱,۵۰۰ دلار و هزینه ماهانه ۵۰۰ دلار، خدماتی را برای تسهیل مراحل نفوذ به حساب‌های ایمیلی در مقیاس گسترده ارائه می‌کرد. هسته مرکزی این سرویس، یک چت‌بات AI بود که قادر بود صندوق ورودی (Inbox) قربانیان را تحلیل کرده و روابط مورد اعتماد، مجوزهای پرداخت و مسئولیت‌های حساس را شناسایی کند تا احتمال موفقیت در کلاهبرداری افزایش یابد.
رویکرد فنی: سوءاستفاده از OAuth و Device Code
دسترسی به حساب‌ها از طریق یک فرآیند قانونی OAuth به نام Device Code Authentication صورت می‌گرفت. این روش برای دستگاه‌هایی با رابط کاربری محدود (مانند تلویزیون‌های هوشمند) طراحی شده است. مهاجمان با ارسال اسپم‌های انبوه، کاربران را به صفحاتی هدایت می‌کردند که اسکریپت‌های خودکار آن با سرویس Microsoft Entra تعامل کرده و کدی برای ثبت دستگاه مهاجم تولید می‌کرد.
سپس کاربر فریب می‌خورد تا این کد را در پورتال رسمی مایکروسافت وارد کند. استفاده از منطق پیچیده Backend (بر پایه Node.js) باعث شده بود این عملیات بتواند سیستم‌های شناسایی مبتنی بر امضا (Signature-based) یا الگو (Pattern-based) را دور بزند.
تحلیل پس از نفوذ و اتوماسیون AI
پس از دسترسی به حساب، پلتفرم EvilTokens قادر بود ۵,۰۰۰ ایمیل را به طور همزمان تحلیل کند. هوش مصنوعی این پلتفرم، کارکنانی که صلاحیت پرداخت مبالغ بالا را داشتند و مدیران مستقیم آن‌ها را شناسایی می‌کرد و سپس سناریوهای متقاعدکننده‌ای برای ترغیب کارکنان به انتقال وجه به حساب‌های مهاجمان طراحی می‌نمود.
اقدامات متقابل و نتایج
مایکروسافت با همکاری شرکت امنیتی SpyCloud و از طریق فرآیندهای قانونی، ۵۰ وب‌سایت و ۱۵۰ دامنه مرتبط با این پلتفرم را توقیف کرد. همچنین پلیس متروپولیتن بریتانیا دو نفر را در ارتباط با این شبکه دستگیر نموده است. بیشترین تعداد قربانیان در ایالات متحده، کانادا، بریتانیا، استرالیا، هند و فرانسه و در بخش‌هایی نظیر خدمات مالی، بهداشت و درمان و آموزش عالی شناسایی شده‌اند.
توصیه امنیتی برای سازمان‌ها
مایکروسافت هشدار می‌دهد که با ظهور ابزارهای AI، زمان لازم برای تحلیل محتوای ایمیل‌های سرقتی از چندین روز به چند دقیقه کاهش یافته است. سازمان‌ها باید فرض کنند که به محض نفوذ به یک Inbox، تمام محتویات آن فوراً تحلیل می‌شود. بنابراین، استفاده از Strong Identity Protections و نظارت مستمر ضروری است و هرگونه درخواست تغییر اطلاعات پرداخت یا انتقال وجه باید از طریق یک کانال ارتباطی دوم و مورد اعتماد تأیید شود.
