شرکت مایکروسافت (Microsoft) به همراه گروهی از شرکای صنعتی، موفق به متوقف کردن فعالیت پلتفرم EvilTokens شد. این پلتفرم که به عنوان یک سرویس «فیشینگ به عنوان سرویس» (Phishing-as-a-Service) عمل می‌کرد، منجر به به خطر افتادن بیش از ۱۲,۰۰۰ صندوق پستی مشتریان مایکروسافت در ۱۰,۰۰۰ سازمان مختلف در سطح جهان شده بود.
بهره‌برداری گسترده از هوش مصنوعی در زنجیره حمله
پلتفرم EvilTokens که در فوریه ۲۰۲۶ راه‌اندازی شده بود، از هوش مصنوعی (AI) در تمامی مراحل زنجیره حمله استفاده می‌کرد. این سیستم تنها برای نوشتن پیام‌های متقاعدکننده نبود، بلکه از یک چت‌بات پیشرفته برای تحلیل صندوق‌های پستی قربانیان، شناسایی روابط مورد اعتماد و مجوزهای پرداخت استفاده می‌کرد تا بهینه‌ترین مسیر برای کلاهبرداری مالی را طراحی کند.
مکانیزم فنی و دور زدن لایه‌های امنیتی
- سرقت توکن‌های نشست (Session Tokens): این پلتفرم با سرقت توکن‌ها، امکان دسترسی مداوم به حساب‌های قربانیان را فراهم می‌کرد.
- دور زدن MFA: با استفاده از توکن‌های فعال، مهاجمان می‌توانستند سیستم‌های احراز هویت چندعاملی (Multi-Factor Authentication)، درگاه‌های ایمیل و ابزارهای امنیت نقطه پایانی (Endpoint Security) را دور بزنند.
- تحلیل ساختار سازمانی: مهاجمان از طریق Microsoft Graph، ساختار سازمانی و دسترسی‌ها را نقشه‌برداری کرده و امکان حرکت عرضی (Lateral Movement) در شبکه را پیدا می‌کردند.
جزئیات عملیاتی و دستگیری متهمان
بر اساس گزارش‌ها، این سرویس توسط گروه تهدیدی موسوم به Storm-2992 توسعه یافته بود. در پی همکاری‌های بین‌المللی، پلیس لندن موفق شد دو نفر از گردانندگان اصلی این پلتفرم را بازداشت و تجهیزات دیجیتال آن‌ها را توقیف کند. این پلتفرم دسترسی خود را از طریق تلگرام با هزینه اولیه ۱,۵۰۰ دلار و اشتراک ماهانه ۵۰۰ دلار به مجرمان سایبری می‌فروخت.
تخمین خسارات و اقدامات پیشگیرانه
اگرچه تخمین دقیق خسارات دشوار است، اما تنها ۱۳ مورد گزارش شده به FBI مبلغ ۱.۷ میلیون دلار ضرر را نشان می‌دهد. Coinbase نیز حدود ۱.۱ میلیون دلار درآمد برای اپراتورهای این پلتفرم ردیابی کرده است. متخصصان توصیه می‌کنند سازمان‌ها هرگونه درخواست غیرمنتظره برای تغییر اطلاعات پرداخت یا کدهای دستگاه‌های ناشناس را به عنوان نشانه‌های حمله (Red Flag) تلقی کرده و از روش‌های تایید مستقل استفاده کنند.
