مايكروسوفت تفكك EvilTokens، خدمة تصيّد احتيالي مدعومة بالذكاء الاصطناعي مرتبطة بـ12,000 صندوق بريد

في 22 سبتمبر 2026، قالت مايكروسوفت إنها فكّكت EvilTokens، وهي منصة تصيّد احتيالي كخدمة مرتبطة بأكثر من 12,000 صندوق بريد إلكتروني مخترق لدى أكثر من 10,000 مؤسسة. وبعد إطلاقها في فبراير 2026، تركز الضحايا في الولايات المتحدة وكندا والمملكة المتحدة وأستراليا والهند وفرنسا، حيث خُدعوا لكتابة رمز لمرة واحدة في صفحة تسجيل الدخول الحقيقية لمايكروسوفت، ما منح المهاجمين الوصول إلى بريدهم دون تسليم كلمة مرور. وفي قلب الخدمة كان مساعد ذكاء اصطناعي يقرأ صندوق البريد المسروق، ويحدد من يعتمد المدفوعات ومن يستحق انتحال شخصيته، ويصوغ رسالة المتابعة. حصلت وحدة الجرائم الرقمية في مايكروسوفت على إذن قضائي في فرجينيا، وصادرت 50 موقعًا إلكترونيًا وعطّلت أكثر من 150 نطاقًا؛ واعتقلت الشرطة البريطانية رجلين في 11 سبتمبر. ويقع السجل الكامل لعملية الإزالة في الأرشيف، مع تصنيفه ومصادره المذكورة، في أرشيف حوادث الذكاء الاصطناعي إلى جانب المدخلات الأخرى في هذه السلسلة.

المنصة، وحيلة تسجيل الدخول التي حوّلتها إلى صناعة

لم يكن ثغرة EvilTokens بحاجة إلى كلمات مرور. فقد استغلت تدفّق تفويض الأجهزة في OAuth، وهو الآلية الكامنة وراء تسجيل الدخول على الأجهزة التي تفتقر إلى لوحة مفاتيح أو متصفح — كأجهزة التلفاز الذكية والطابعات ووحدات المؤتمرات وغرف Microsoft Teams. ويعرض ذلك التدفّق رمزًا قصيرًا على جهاز واحد، ثم يطلب من المستخدم إدخاله في جلسة متصفح على جهاز آخر. ويوضّح مدونة الأمن لدى Microsoft سبب كون هذا الفصل موطن الضعف: فمن يبدأ التدفّق هو الطرف الذي ينتهي به الأمر موثَّقًا.

في السلسلة التي تصفها فرقة استخبارات التهديدات لدى Microsoft، يؤدي بريد إلكتروني ذو طابع ضغط — فاتورة، إشعار مشاركة ملف — إلى صفحة مهاجم. يتواصل نص برمجي في الخلفية على تلك الصفحة مع مزوّد الهوية لدى Microsoft في الوقت الفعلي ويولّد رمز جهاز حيًا، يعرضه مع زر نسخ بجوار رابط "المتابعة باستخدام Microsoft". يؤدي ذلك الرابط إلى بوابة microsoft.com/devicelogin الحقيقية. بينما يوثّق الضحية هويته، يستقصي النص البرمجي نقطة نهاية /state على خادم المهاجم نفسه كل ثلاث إلى خمس ثوانٍ طوال مدة صلاحية الرمز البالغة خمس عشرة دقيقة، منتظرًا معرفة ما إذا كان تسجيل الدخول قد نجح. ولأن متصفحًا لديه جلسة قائمة يمكنه إكمال الخطوة في ثوانٍ، غالبًا ما يُنسخ الرمز إلى الحافظة ويُلصق مباشرة. لا تُكتب كلمة مرور الضحية أبدًا في أي شيء يتحكم به المهاجم، ولا يلغي أي إعادة تعيين لكلمة المرور ما حدث: "قد يستمر ذلك الوصول حتى بعد إعادة تعيين كلمة المرور إذا لم تُبطَل الجلسات والرموز المرتبطة أيضًا"، كما كتب ستيفن ماسادا، المستشار العام المشارك والمدير العام لوحدة الجرائم الرقمية في Microsoft، في منشور الوحدة.

ما أضافته المنصة هو قابلية التكرار. تقول Microsoft إن EvilTokens جاءت بـ44 سمة تصيّد مختلفة ومجموعة من القوالب وصفحات الهبوط، وإن الجهة الفاعلة التي تتعقبها باسم Storm-2992 روّجت للحزمة وباعتها وحدّثتها ودعمتها على Telegram. وتذكر Security Blog أن حملة في أبريل 2026 استخدمت منصات أتمتة لإنشاء آلاف عُقد الاستقصاء الفريدة قصيرة الأجل بمنطق خلفي Node.js، وهو تصميم يستهدف مباشرة إفشال الكشف القائم على التوقيعات. وتنسب Microsoft إلى Huntress ملاحظات حول السمات المتداولة، بما فيها عروض مناقصات البناء وإشعارات انتهاء صلاحية كلمات المرور. وتشير Security Blog إلى أنه بعد الاختراق، سجّل بعض المشغّلين جهازًا جديدًا خلال عشر دقائق للحصول على Primary Refresh Token من أجل وصول مستدام؛ بينما انتظر آخرون ساعات قبل إنشاء قواعد للبريد الوارد وتسريب البريد.

ما فعله الذكاء الاصطناعي داخل صندوق البريد

إن وصف مايكروسوفت نفسه للذكاء الاصطناعي أكثر تحديدًا من العبارة الرئيسية «استخدم الذكاء الاصطناعي في كل خطوة من سلسلة الهجوم»، ويستحق قراءة متأنية. وتقول وحدة الجرائم الرقمية إن محور الخدمة كان «روبوت محادثة على غرار الذكاء الاصطناعي يمكنه تحليل صندوق بريد الضحية ومساعدة المجرمين على تحديد العلاقات الموثوقة وتفويضات الدفع والمسؤوليات الحساسة، فضلًا عن ظروف أخرى كان الاحتيال فيها أكثر احتمالًا للنجاح». وكان بإمكانه تلخيص رسائل البريد الإلكتروني وترجمتها، وإبراز المحادثات المالية، ورسم خريطة الأدوار التنظيمية، والتوصية بالأهداف. وأتاحت المطالبات المُعدّة مسبقًا للمشترك البحث عن مناقشات التحويلات المالية، والعثور على «محرّكي الأموال» في المؤسسة، وتحديد فواتير الموردين، وترتيب أفضل الأشخاص الذين يمكن انتحال هويتهم. وكان بإمكانه أيضًا صياغة رسائل بانتحال هوية جهات اتصال موثوقة.

هذا تحليل وصياغة، لا استقلالية. فقد قرأ النظام ما كان المشغّل قد سرقه بالفعل، ورتّبه، واقترح الخطوة التالية؛ وكان العميل الدافع هو من يختار ما إذا كان يرسل. ولا يصف أي من المواد التي جرى مراجعتها هنا EvilTokens وهي تركّب الطُعوم وترسلها دون مشترك بشري، أو تحوّل الأموال بنفسها. وتصف الشكوى التي قدّمتها Microsoft وHealth-ISAC المخطط بأنه «مؤامرة متطورة لاختراق البريد الإلكتروني التجاري مدعومة بنشر وكلاء ذكاء اصطناعي من طرف إلى طرف» — وهذا هو توصيف المدّعين في مذكرة قانونية، والوظائف التي تمضي في وصفها هي الاسترجاع والترتيب والصياغة داخل لوحة تحكم يديرها العميل.

تأتي أكثر التفاصيل الملموسة عن حزمة الذكاء الاصطناعي من تلك الشكوى، التي تنشرها مايكروسوفت عبر وحدة الجرائم الرقمية التابعة لها. وتزعم أن المدعى عليهم أدمجوا خدمات الذكاء الاصطناعي من Groq في الإصدارات المبكرة من لوحة تحكم EvilTokens، ومؤخراً خدمات OpenAI في نسخة محدّثة منها، وتعرض إعادة إنتاج لنص تعليمات نظام يصوّر المساعد كخبير متمرس في اختراق البريد الإلكتروني التجاري واحتيال التحويلات المصرفية، ومتاح افتراضياً لكل مستخدم نهائي. كما خلص محققو مايكروسوفت إلى أن أجزاء كبيرة من المنصة كانت "مكتوبة بأسلوب vibe coding"، حيث ساعد الذكاء الاصطناعي منشئيها على بنائها، وأنها "استعانت بقدرات من نماذج ذكاء اصطناعي متعددة". وعند السؤال عن النماذج الأخرى، رفض المتحدث باسم مايكروسوفت الإفصاح، وفقاً لما أوردته The Record. وتُمنح OpenAI بشكل منفصل الفضل كشريك في عملية التعطيل.

الأرقام، ومن أحصاها

مقياس العنوان الرئيسي هو مقياس مايكروسوفت. كتبت وحدة الجرائم الرقمية: «خلال أشهر من إطلاق EvilTokens في فبراير 2026، ارتبط بأكثر من 12,000 صندوق بريد إلكتروني مخترق عبر أكثر من 10,000 مؤسسة حول العالم»، ويكرر Security Blog هذا الرقم، وتنقله كل من SecurityWeek وHelp Net Security. وتقول الشكوى الأمر نفسه بصياغتها الخاصة — «أكثر من 12,000 ضحية مخترقة لدى مايكروسوفت». لم تنشر أي جهة مستقلة إحصاءً منفصلاً، وكان دور Health-ISAC هو الانضمام كمدّعٍ مشارك لأن مؤسسات الرعاية الصحية كانت من بين الأهداف، لا تدقيق العدد.

تذكر مايكروسوفت أن أعلى تركيزات نشاط الضحايا توجد في الولايات المتحدة وكندا والمملكة المتحدة وأستراليا والهند وفرنسا، وتُدرج القطاعات المتأثرة على أنها توزيع الجملة والتشييد والخدمات المالية والعقارات والتعليم العالي والرعاية الصحية. عبارة "أعلى التركيزات" مهمة: فهذه البلدان الستة هي حيث تكتّس النشاط، وليست قائمة كاملة بالمكان الذي وُجد فيه الضحايا. تدّعي الشكوى أن المؤسسة كانت قائمة "لتسهيل جرائم مالية بقيمة ملايين الدولارات"، لكن البيانات العامة التي روجعت لهذا المقال لا تقدّم أي رقم للخسائر، ولم يُسمَّ أي ضحية.

ثمة نقطة بنيوية تتعلق بمقدار الوزن الذي يمكن أن تحمله هذه الأعداد. فـ Microsoft هي مزوّد الهوية الذي استغل المخطط صفحة تسجيل الدخول الخاصة به، والمحقّق الذي أجرى هندسة عكسية للمنصة، ومصدر أعداد الضحايا — المنظمة نفسها في الأدوار الثلاثة. وروايتها مفصّلة ومتسقة داخليًا، وقد تأيّدت في كل نقطة تحققت منها منافذ إعلامية مستقلة، بما في ذلك التسعير والآلية والاعتقالات. أما أعداد الضحايا فلم يتم التحقق منها بشكل مستقل.

الإطاحة: قضية مدنية، واعتقالان، وما لا يثبتانه

جرت تحركات Microsoft على مسارين. في الولايات المتحدة، حصلت وحدة الجرائم الرقمية على إذن من المحكمة الجزئية الأمريكية للمنطقة الشرقية من ولاية فرجينيا، مع Health-ISAC كمدعية مشاركة، ثم عملت مع Cloudflare وCoinbase وOpenAI وRailway وSpyCloud وThe Shadowserver Foundation وTRM Labs "للتحرك ضد الأجزاء الرئيسية من المنصة"، على حد تعبيرها. وتقول Microsoft إنها استولت على 50 موقعًا إلكترونيًا كان يُستخدم لتشغيل الخدمة، وعطّلت أكثر من 150 نطاقًا إضافيًا مرتبطًا ببنيتها التحتية. وتصف العملية بأنها عملية التعطيل الأربعون المصرّح بها من المحكمة، والأولى من نوعها ضد ما تسميه "خدمة جرائم إلكترونية مدعومة بالذكاء الاصطناعي من البداية إلى النهاية".

تشير الشكوى الكامنة وراء ذلك الإجراء إلى مدّعى عليهما مقيمين في المملكة المتحدة — Felix Utomi وWaidi Segun Adams — إضافة إلى خمسة أطراف غير مسمّاة، DOES 1-5، وتدّعي وقوع انتهاكات لقانون مكافحة الاحتيال وإساءة استخدام الحاسوب، وقانون خصوصية الاتصالات الإلكترونية، وقانون Lanham، وقانون المنظمات المتأثرة بالابتزاز والفساد. النسخة التي نشرتها وحدة الجرائم الرقمية في Microsoft مختومة بعبارة «مُودعة تحت الختم»، ولا تحمل رقم قضية، وتصف مدّعى عليهما من مزوّدي البنية التحتية، وثلاثة من موظفي الدعم لا يُعرَّف عنهم إلا بمعرّفات Telegram وألقابهم الوظيفية، ومستخدمَين نهائيين شمل وصولهما عميلًا لـ Microsoft مقره في فيرجينيا وعضوًا في Health-ISAC مقره في فيرجينيا. ويذكر SecurityWeek أن الشكوى تستهدف أيضًا خمسة أفراد غير مسمّين. ويسجّل ملخّص الأرشيف للقضية أن شركة مسجّلة في المملكة المتحدة تقف خلف المنصة مذكورة في المرافعات؛ ولا يذكر بيان الدعوى المنشور سوى أفراد، ولا تحدد منشورات Microsoft ولا التقارير المستعرضة هنا أي مدّعى عليه من الشركات.

بشكل منفصل، ألقت فرقة الجرائم الإلكترونية التابعة لخدمة شرطة العاصمة (Metropolitan Police Service) القبض على رجلين يبلغان من العمر 32 و38 عامًا في 11 سبتمبر 2026، وصادرت أجهزة رقمية وأغراضًا أخرى. وقالت وحدة الجرائم الرقمية إنه تم الإفراج عن كليهما بكفالة شرطية مع شروط ريثما يستمر التحقيق. وأكدت شرطة العاصمة (Met) الاعتقالين لـ The Record وقالت إن الرجلين احتُجزا للاشتباه في صنع مواد تُستخدم في الاحتيال وغسل الأموال؛ ورفضت Microsoft، التي أبلغت القوة بالمسألة في أغسطس، الكشف عن هويتهما لتلك المنفذ. وقال المفتش المحقق سيرينا دادامو، الذي قاد فريقه التحقيق: "تجلب خدمات التصيد بؤسًا لآلاف الأشخاص، وتسلب المال من الناس العاديين في أنحاء العالم."

ما لا يحتوي عليه السجل يستحق الذكر بالقدر نفسه. لم تُعلن أي تُهم. ولم يصدر أي حكم قضائي ضد أي شخص. إن ورود اسم شخص في شكوى مدنية هو ادعاء وليس إدانة، والرجلان اللذان أُوقفا أُفرج عنهما بكفالة بدل توجيه تُهم إليهما. ولا يشير أي شيء منشور إلى أن البنية التحتية المصادرة قد رُبطت بخسارة احتيال محددة؛ لا منشورات Microsoft ولا التغطية المستعرضة هنا تربطها بذلك، وإطار Microsoft نفسه هو أن التعطيل ليس استئصالاً: كتب Masada: «عُطّلت البنية التحتية التي تدعم EvilTokens، لكن النموذج الذي أظهرته لن يختفي معها».

ما الذي تقوله Microsoft إنه ينبغي على المدافعين فعله

إن إرشادات Security Blog محددة بشكل غير معتاد، وهي الجزء من الحلقة الأوسع قابلية للتطبيق. وتتمثل توصيتها الأولى في حظر تدفق رمز الجهاز حظرًا تامًا حيثما لا تكون هناك حاجة إليه؛ وحيث تتطلبه أجهزة Teams، بتضييق الاستثناء ليشمل حسابات موارد أجهزة Teams محددة واستبعاد مورد Device Registration Service من الوصول المشروط. وإلى جانب ذلك، فهي توصي بمصادقة متعددة العوامل مقاومة للتصيد مثل رموز FIDO أو مفاتيح مرور Microsoft Authenticator، وحظر المصادقة القديمة وتجنب المصادقة متعددة العوامل الهاتفية؛ وتمكين Safe Links، الذي تقول إنه يمكّن أيضًا تنبيهات تصيد تدفق رمز الجهاز عالية الثقة؛ ورفع حد التصيد المتقدم إلى 2 أو 3؛ وتشغيل الحذف التلقائي في الساعة الصفرية؛ والتنبيه عند إنشاء قواعد بريد واردة مشبوهة.

بالنسبة للفرق المستجيبة، يسلّط مدونة الأمان الضوء على فخ يفسّر سبب استمرار هذه الاختراقات. إن الإبطال القياسي للجلسات باستخدام revokeSignInSessions قد يبطل رموز التحديث فقط، تاركًا رموز الوصول صالحة لمدة تصل إلى ساعة — لذا توصي Microsoft بتعطيل حساب مخترق مؤقتًا لاحتواء فوري، والتعامل مع الاشتباه في سرقة رموز التحديث وفق دليل سرقة الرموز الخاص بها. وتضيف وحدة الجرائم الرقمية ضابطًا لا يوفره أي منتج: التحقق بشكل مستقل من طلبات تغيير معلومات الدفع أو إعادة توجيه الأموال أو الموافقة على معاملات غير عادية عبر قناة ثانية موثوقة. والدرس الذي أعلنته الوحدة للمؤسسات هو أنه "بمجرد اختراق صندوق بريد، قد يفهم المجرمون محتوياته في دقائق، لا أيام."

لم يتم تقييم أي من تلك الإرشادات بشكل مستقل، ولا يتضمن السجل أي قياس لعدد المؤسسات المتأثرة التي كانت ميزة "تدفق رمز الجهاز" مفعّلة لديها، أو عدد المؤسسات التي حظرتها منذ ذلك الحين. وتقول مايكروسوفت إنها أبلغت العملاء المتأثرين وساعدت في معالجة الحسابات المخترقة؛ أما ما فعلته المؤسسات فردًا فردًا ردًا على ذلك فليس علنيًا.

يصنّف الأرشيف هذا المُدخل على أنه حادثة وقعت بالفعل، بخطورة عالية، وثقة من الدرجة A، وغير متنازع عليها، مع تسجيل ضرر حقيقي وتأكيد تورط الذكاء الاصطناعي، ومؤرخة في اليوم نفسه لإعلان Microsoft. ويعكس هذا التصنيف مدى جودة توثيق الحدث — منشوران لـ Microsoft، وملف قضائي، وتغطية مستقلة تتفق على الآلية والتسعير والاعتقالات — وهو سبب قدرة هذا السرد على أن يكون محدداً بشأن سلسلة الهجوم. وهو لا يحوّل أعداد ضحايا Microsoft إلى رقم مدقق، ولا يجعل الادعاءات المدنية ضد رجلين مذكورين بالاسم بمثابة نتائج. وقد تكون النقطة الأبقى هي التي تطرحها Microsoft ضد مصلحتها: البنية التحتية سقطت، أما القالب — جلسة مسروقة، ومساعد يقرأ صندوق الوارد، وخطة احتيال صيغت في دقائق — فلم يسقط.