در یک عملیات مشترک میان نهادهای انتظامی و شرکت‌های فناوری، سرویس فیشینگ بدنام EvilTokens که توسط مایکروسافت رهبری می‌شد، متوقف شد. این عملیات منجر به بازداشت مدیران احتمالی وب‌سایت، توقف فعالیت بیش از ۵۰ وب‌سایت و اطلاع‌رسانی به قربانیانی شد که حساب‌های ایمیلی آن‌ها مورد نفوذ قرار گرفته بود.
EvilTokens چیست و چگونه عمل می‌کرد؟
سرویس EvilTokens یک کیت فیشینگ (Phishing Kit) پیشرفته برای سوءاستفاده از Device-code در اکوسیستم مایکروسافت است که از فوریه سال جاری فعال شد. این سرویس در مدل Phishing-as-a-Service (PhaaS) ارائه می‌شد و به مهاجمان اجازه می‌داد تا مکانیزم‌های احراز هویت چندعاملی (MFA) را دور زده و به‌صورت مخفیانه به اپلیکیشن‌های Microsoft 365 قربانی دسترسی پیدا کنند.
گزارش‌ها حاکی از آن است که این ابزار برای نفوذ به بیش از ۱۲,۰۰۰ صندوق ورودی ایمیل (Inbox) در ۱۰,۰۰۰ سازمان در سراسر جهان مورد استفاده قرار گرفته است.
نقش هوش مصنوعی در تشدید حملات
آنچه EvilTokens را از سایر کیت‌های فیشینگ متمایز می‌کرد، بهره‌گیری از یک AI Chatbot بود. این بات هوشمند می‌توانست محتویات صندوق ورودی قربانی را تحلیل کرده و به مهاجمان در موارد زیر کمک کند:
- شناسایی دقیق اهداف برای حملات بعدی.
- جعل هویت مخاطبان مورد اعتماد قربانی.
- طراحی استراتژی‌های کلاهبرداری بهینه برای افزایش سود مالی.
جزئیات عملیات تخریب
در عملیاتی هماهنگ بین ایالات متحده و بریتانیا، مایکروسافت ۵۰ وب‌سایت عملیاتی و بیش از ۱۵۰ دامنه مرتبط با زیرساخت‌های پشتیبانی این سرویس را از دسترس خارج کرد. همزمان، پلیس متروپولیتان لندن دو مرد ۳۲ و ۳۸ ساله را که متهم به مدیریت وب‌سایت EvilTokens بودند، بازداشت کرد.
به دلیل هدف قرار گرفتن سازمان‌های بهداشتی، سازمان غیرانتفاعی Health-ISAC نیز به عنوان شاکی مشترک در این اقدام قانونی به مایکروسافت پیوست. در این مسیر، شرکت‌هایی نظیر Cloudflare، Coinbase، OpenAI و TRM Labs نیز در توقف پلتفرم همکاری کردند.
درس‌های امنیتی برای سازمان‌ها
استیون ماسادا، مدیر واحد جرایم دیجیتال مایکروسافت (DCU)، اشاره کرد که اگرچه زیرساخت EvilTokens تخریب شده، اما مدل عملیاتی آن (ترکیب AI و فیشینگ) همچنان یک تهدید است. وی توصیه کرد که سازمان‌ها باید فرض کنند در صورت نفوذ به یک Inbox، مهاجم می‌تواند در عرض چند دقیقه محتویات آن را درک کند. بنابراین، علاوه بر حفاظت‌های سخت‌گیرانه از هویت (Identity Protection)، هرگونه درخواست تغییر اطلاعات پرداخت یا تراکنش‌های غیرمعمول باید از طریق یک کانال ارتباطی دوم و مورد اعتماد تایید شود.
