ائتلافی از نهادهای اجرای قانون و شرکای بخش خصوصی به رهبری مایکروسافت، موفق شدند سرویس فیشینگ EvilTokens را که منجر به به خطر افتادن بیش از ۱۲,۰۰۰ صندوق پستی در ۱۰,۰۰۰ سازمان شده بود، متوقف کنند.
جزئیات عملیات توقف
مایکروسافت و Health-ISAC با مجوز دادگاه منطقه شرقی ویرجینیا و همکاری شرکت‌هایی نظیر Cloudflare، Coinbase، OpenAI و TRM Labs، موفق به توقیف ۵۰ وب‌سایت عملیاتی و غیرفعال‌سازی بیش از ۱۵۰ دامنه مرتبط با زیرساخت این سرویس شدند. مایکروسافت مشتریان آسیب‌دیده را مطلع کرده و در زمینه پاک‌سازی حساب‌های مورد حمله و اشتراک‌گذاری داده‌های جاسوسی (Intelligence) برای تحقیقات بیشتر کمک کرده است.
مکانیسم حمله و بهره‌برداری از AI
این سرویس که در فوریه ۲۰۲۶ راه‌اندازی شده بود، دسترسی به حساب‌های ایمیل را به همراه یک چت‌بات مبتنی بر هوش مصنوعی (AI Chatbot) فراهم می‌کرد تا محتویات صندوق‌های پستی را تحلیل کند. قربانیان با فریب خوردن، کدهای احراز هویت را در صفحه ورود قانونی مایکروسافت وارد می‌کردند و بدون افشای رمز عبور، دسترسی خود را به مهاجمان واگذار می‌کردند.
نکته حیاتی این است که این دسترسی حتی پس از تغییر رمز عبور (Password Reset) نیز باقی می‌ماند، مگر اینکه نشست‌ها (Sessions) و توکن‌های مرتبط لغو (Revoke) شوند.
اتوماسیون کلاهبرداری مالی
ابزارهای AI این سرویس می‌توانستند کارهای زیر را انجام دهند:
- خلاصه‌سازی و ترجمه ایمیل‌ها و شناسایی گفتگوهای مالی.
- ترسیم نقش‌های سازمانی و شناسایی روابط مورد اعتماد.
- یافتن بحث‌های مربوط به حواله‌های بانکی و فاکتورهای تامین‌کنندگان.
- شناسایی افرادی که مسئول جابجایی وجه هستند برای جعل هویت (Impersonation).
- تنظیم پیش‌نویس پیام‌ها به نام مخاطبان مورد اعتماد.
مدل کسب‌وکار و توزیع
این سرویس از طریق تلگرام با هزینه اولیه ۱,۵۰۰ دلار و اشتراک ماهانه ۵۰۰ دلار فروخته می‌شد. EvilTokens در واقع قابلیت‌های پیچیده حمله به هویت (Identity Attacks)، سیستم‌های ابری و مهندسی اجتماعی را در قالب یک رابط کاربری آماده (Ready-made Interface) در اختیار مجرمان قرار می‌داد.
توصیه‌های امنیتی
کارشناسان مایکروسافت هشدار می‌دهند که مدل عملیاتی EvilTokens از بین نرفته است و تنها یک نمونه اولیه از ترکیب حساب‌های هک شده با AI برای تسریع کلاهبرداری‌های مالی است. سازمان‌ها باید فرض کنند که در صورت نفوذ به یک صندوق پستی، مهاجم می‌تواند در عرض چند دقیقه تمام محتویات آن را تحلیل کند. توصیه می‌شود علاوه بر حفاظت شدید از هویت و مانیتورینگ، هرگونه درخواست برای تغییر اطلاعات پرداخت یا انتقال وجه از طریق یک کانال دوم مورد اعتماد (Trusted Second Channel) تایید شود.
