شرکت مایکروسافت از موفقیت در متوقف کردن فعالیت‌های EvilTokens خبر داد؛ یک پلتفرم فیشینگ به عنوان سرویس (PhaaS) مبتنی بر هوش مصنوعی که منجر به نفوذ به بیش از ۱۲,۰۰۰ صندوق پستی Microsoft 365 در ۱۰,۰۰۰ سازمان در سراسر جهان شده بود.
مدل عملیاتی و تجاری EvilTokens
این پلتفرم که از فوریه ۲۰۲۶ فعالیت می‌کرد، خدماتی جامع شاملe Compromise حساب‌ها، تحلیل صندوق‌های پستی، انتخاب هدف و آماده‌سازی کلاهبرداری‌ها را ارائه می‌داد. دسترسی به این قابلیت‌ها از طریق یک داشبورد مرکزی و یک Chatbot فراهم شده بود و بازاریابی آن در کانال‌های تلگرام انجام می‌شد. هزینه عضویت اولیه این سرویس ۱,۵۰۰ دلار و حق اشتراک ماهانه آن ۵۰۰ دلار بود.
مکانیزم فنی حمله: سوءاستفاده از OAuth 2.0
این گروه برای سرقت Session Tokenهای معتبر، از نقص‌های موجود در جریان احراز هویت Device-code authentication در پروتکل OAuth 2.0 مایکروسافت استفاده می‌کردند. در این روش (Device Code Phishing)، قربانیان با کلیک بر روی یک لینک، کدی موقت دریافت می‌کردند و با وارد کردن آن در صفحه رسمی ورود مایکروسافت، بدون اینکه رمز عبور خود را فاش کنند، دسترسی کامل حساب خود را در اختیار مهاجمان قرار می‌دادند.
این متد به مهاجمان اجازه می‌داد تا به جای تمرکز بر رمز عبور، توکن‌های دسترسی را سرقت کرده و دسترسی پایدار (Persistent Access) به حساب‌های Microsoft 365 و Entra ID به دست آورند.
نقش هوش مصنوعی در تحلیل و شناسایی
یکی از ویژگی‌های کلیدی EvilTokens، استفاده از یک Chatbot تحلیل‌گر مبتنی بر AI بود. این ابزار پس از نفوذ به صندوق پستی، پیام‌ها را اسکن می‌کرد تا فرصت‌های کلاهبرداری مالی، به‌ویژه حملات Business Email Compromise (BEC) را شناسایی کند. این AI با تحلیل مکاتبات، افرادی که کنترل پرداخت‌ها را بر عهده دارند یا روابط تجاری مورد اعتماد را شناسایی کرده و سپس پیام‌های جعلی دقیقی را بر اساس گفتگوهای واقعی تجاری برای فریب قربانیان پیش‌نویس می‌کرد.
جزئیات عملیات تخریب و دستگیریاں
مایکروسافت با همکاری نهادهای انتظامی و قضایی ایالات متحده، موفق شد ۵۰ وب‌سایت و بیش از ۱۵۰ دامنه مرتبط با این شبکه را توقیف کند. همچنین پلیس بریتانیا دو مرد ۳۲ و ۳۸ ساله را که مظنون به مدیریت زیرساخت‌های فنی EvilTokens بودند، بازداشت کرد. طبق ردیابی‌های Coinbase، حدود ۱.۱ میلیون دلار درآمد از طریق بیش از ۷۰۰ آدرس کریپتوکارنسی به این عملیات منتقل شده بود.
توصیه‌های امنیتی برای مدیران SOC و CISOs
کارشناسان امنیتی هشدار می‌دهند که سازمان‌ها باید فرض کنند هر صندوق پستی نفوذ شده، ظرف چند دقیقه توسط AI تحلیل می‌شود. برای مقابله با این تهدیدات، موارد زیر باید از حالت «بهترین تمرین» (Best Practice) به «استاندارد پایه» (Baseline) تبدیل شوند:
- پیاده‌سازی Conditional Access Policies برای محدود کردن جریان Device Code.
- کاهش زمان اعتبار توکن‌ها (Short Token Lifetimes).
- فعال‌سازی سیستم‌های هشدار برای احراز هویت‌های غیرعادی (Anomalous Authentication Alerting).
