Microsoft zerschlägt EvilTokens – einen KI-gestützten Phishing-Dienst, der mit 12.000 Postfächern in Verbindung gebracht wird

Am 22. September 2026 erklärte Microsoft, es habe EvilTokens zerschlagen, eine Phishing-as-a-Service-Plattform, die mit mehr als 12.000 kompromittierten E-Mail-Postfächern bei über 10.000 Organisationen in Verbindung gebracht wird. Nach ihrem Start im Februar 2026 konzentrierten sich die Opfer auf die Vereinigten Staaten, Kanada, das Vereinigte Königreich, Australien, Indien und Frankreich; sie wurden dazu verleitet, einen Einmalcode auf Microsofts echter Anmeldeseite einzugeben, wodurch Angreifer Zugriff auf ihre E-Mail erhielten, ohne ein Passwort preiszugeben. Im Zentrum des Dienstes stand ein KI-Assistent, der das gestohlene Postfach las, ermittelte, wer Zahlungen genehmigt und wer es wert ist, imitiert zu werden, und die Folgenachricht entwarf. Microsofts Digital Crimes Unit erhielt in Virginia eine gerichtliche Genehmigung, beschlagnahmte 50 Websites und deaktivierte mehr als 150 Domains; die britische Polizei nahm am 11. September zwei Männer fest. Der vollständige Bericht des Archivs über die Abschaltung, mit seiner Bewertung und den zitierten Quellen, befindet sich in dem KI-Vorfallarchiv neben den anderen Einträgen dieser Reihe.

Die Plattform und der Anmeldetrick, den sie industrialisiert hat

EvilTokens benötigte keine Passwörter. Es missbrauchte den OAuth-Geräteautorisierungsflow, den Mechanismus hinter der Anmeldung auf Geräten ohne Tastatur oder Browser – Smart-TVs, Drucker, Konferenzeinheiten und Microsoft Teams Rooms. Dieser Flow zeigt auf einem Gerät einen kurzen Code an und fordert den Nutzer auf, ihn in einer Browsersitzung auf einem anderen Gerät einzugeben. Microsofts Security Blog erklärt, warum genau diese Trennung die Schwachstelle ist: Wer den Flow startet, ist die Partei, die am Ende authentifiziert wird.

In der von Microsofts Threat-Intelligence-Team beschriebenen Kette führt eine E-Mail, die Druck aufbaut – eine Rechnung, eine Dateifreigabe-Benachrichtigung –, zu einer Angreiferseite. Ein Hintergrundskript auf dieser Seite kommuniziert in Echtzeit mit Microsofts Identitätsanbieter und generiert einen Live-Gerätecode, den es mit einer Schaltfläche zum Kopieren neben einem Link „Mit Microsoft fortfahren“ anzeigt. Dieser Link führt zum echten microsoft.com/devicelogin-Portal. Während das Opfer sich authentifiziert, fragt das Skript alle drei bis fünf Sekunden einen /state-Endpunkt auf dem eigenen Server des Angreifers ab, und zwar über die fünfzehnminütige Lebensdauer des Codes hinweg, und wartet darauf, ob die Anmeldung eingegangen ist. Da ein Browser mit einer bestehenden Sitzung den Schritt in Sekunden abschließen kann, wird der Code häufig in die Zwischenablage kopiert und direkt eingefügt. Das Passwort des Opfers wird nie in etwas eingegeben, das der Angreifer kontrolliert, und kein Zurücksetzen des Passworts macht rückgängig, was geschehen ist: „Dieser Zugriff könnte auch nach einem Passwort-Reset bestehen bleiben, wenn die zugehörigen Sitzungen und Tokens nicht ebenfalls widerrufen wurden“, schrieb Steven Masada, Associate General Counsel und General Manager von Microsofts Digital Crimes Unit, im Beitrag der Einheit.

Was die Plattform hinzufügte, war Wiederholbarkeit. Microsoft sagt, EvilTokens habe 44 verschiedene Phishing-Themen sowie eine Reihe von Vorlagen und Landingpages ausgeliefert, und der Akteur, den Microsoft als Storm-2992 verfolgt, habe das Kit auf Telegram beworben, verkauft, aktualisiert und unterstützt. Eine Kampagne vom April 2026, so berichtet der Security Blog, nutzte Automatisierungsplattformen, um Tausende einzigartige, kurzlebige Polling-Nodes mit Node.js-Backend-Logik hochzufahren – ein Design, das direkt darauf abzielte, signaturbasierte Erkennung zu umgehen. Microsoft schreibt Huntress Beobachtungen zu den im Umlauf befindlichen Themen zu, darunter Bauausschreibungen und Hinweise auf ablaufende Passwörter. Nach der Kompromittierung, so merkt der Security Blog an, registrierten einige Betreiber innerhalb von zehn Minuten ein neues Gerät, um ein Primary Refresh Token für dauerhaften Zugriff zu erhalten; andere warteten Stunden, bevor sie Posteingangsregeln erstellten und E-Mails exfiltrierten.

Was die KI im Postfach gemacht hat

Microsofts eigene Beschreibung der KI ist konkreter als die Schlagzeilenformulierung „KI bei jedem Schritt der Angriffskette eingesetzt“ und es lohnt sich, sie genau zu lesen. Im Zentrum des Dienstes, so die Digital Crimes Unit, stand „ein Chatbot im KI-Stil, der den Posteingang eines Opfers analysieren und Kriminellen helfen konnte, vertrauensvolle Beziehungen, Zahlungsfreigaben und sensible Verantwortlichkeiten sowie andere Umstände zu identifizieren, unter denen Betrug am wahrscheinlichsten erfolgreich sein würde.“ Er konnte E-Mails zusammenfassen und übersetzen, finanzielle Gespräche aufdecken, organisatorische Rollen abbilden und Ziele empfehlen. Voreingestellte Prompts ermöglichten es einem Abonnenten, nach Überweisungsdiskussionen zu suchen, die „Geldbeweger“ der Organisation zu finden, Lieferantenrechnungen ausfindig zu machen und die besten Personen für eine Identitätsübernahme zu ranken. Er konnte auch Nachrichten entwerfen, die sich als vertrauenswürdige Kontakte ausgaben.

Das ist Analyse und Entwurf, nicht Autonomie. Das System las, was ein Operator bereits gestohlen hatte, ordnete es ein und schlug einen nächsten Schritt vor; ein zahlender Kunde entschied, ob gesendet wird. Keines der hier geprüften Materialien beschreibt, dass EvilTokens ohne einen menschlichen Abonnenten Köder verfasst und versendet oder selbst Gelder bewegt. Die von Microsoft und Health-ISAC eingereichte Klage bezeichnet das Schema als „eine hochentwickelte Business-E-Mail-Compromise-Verschwörung, angetrieben durch den End-to-End-Einsatz von Agenten der künstlichen Intelligenz“ – das ist die Charakterisierung der Kläger in einem juristischen Schriftsatz, und die Funktionen, die sie anschließend beschreibt, sind Abruf, Ranking und Entwurf innerhalb eines Kontrollpanels, das ein Kunde bedient.

Das konkreteste Detail des KI-Stacks stammt aus jener Beschwerde, die Microsoft über seine Digital Crimes Unit veröffentlicht. Darin wird behauptet, die Beklagten hätten Groqs KI-Dienste in frühe Versionen des EvilTokens-Kontrollpanels integriert und in jüngerer Zeit OpenAIs Dienste in eine aktualisierte Version, und sie gibt einen System-Prompt wieder, der den Assistenten als erfahrenen Betreiber von Business-E-Mail-Compromise und Spezialisten für Überweisungsbetrug darstellt, der standardmäßig jedem Endnutzer zur Verfügung steht. Die Ermittler von Microsoft kamen außerdem zu dem Schluss, dass große Teile der Plattform „vibe coded“ waren, wobei KI ihren Erschaffern beim Aufbau half, und dass sie „auf Fähigkeiten mehrerer KI-Modelle zurückgriff“. Auf die Frage, welche anderen es waren, lehnte ein Microsoft-Sprecher eine Auskunft ab, berichtet The Record. OpenAI wird separat als Partner bei der Unterbindung genannt.

Die Zahlen – und wer sie gezählt hat

Die Größenordnung in den Schlagzeilen stammt von Microsoft. „Innerhalb von Monaten nach dem Start im Februar 2026 wurde EvilTokens mit mehr als 12.000 kompromittierten E-Mail-Postfächern bei über 10.000 Organisationen weltweit in Verbindung gebracht“, schrieb die Digital Crimes Unit; der Security Blog wiederholt die Zahl, und sowohl SecurityWeek als auch Help Net Security berichten darüber. Die Klage sagt dasselbe mit eigenen Worten – „über 12.000 kompromittierte Microsoft-Opfer“. Keine unabhängige Stelle hat eine separate Zählung veröffentlicht, und die Rolle von Health-ISAC bestand darin, als Mitkläger beizutreten, weil Gesundheitseinrichtungen zu den Zielen gehörten, nicht darin, die Zahl zu prüfen.

Microsoft berichtet über die höchsten Konzentrationen von Opferaktivitäten in den Vereinigten Staaten, Kanada, dem Vereinigten Königreich, Australien, Indien und Frankreich und nennt als betroffene Sektoren den Großhandel, das Baugewerbe, Finanzdienstleistungen, Immobilien, die Hochschulbildung und das Gesundheitswesen. Die Formulierung „höchsten Konzentrationen“ ist wichtig: Diese sechs Länder sind die Orte, an denen sich die Aktivitäten ballten, keine vollständige Liste der Orte, an denen es Opfer gab. In der Klage wird behauptet, das Unternehmen habe existiert, um „Finanzkriminalität in Millionenhöhe zu ermöglichen“, doch die für diesen Artikel geprüften öffentlichen Erklärungen nennen keine Schadenssumme, und es wurde kein Opfer namentlich genannt.

Ein struktureller Punkt betrifft die Frage, wie viel Gewicht den Zahlen zukommen kann. Microsoft ist der Identitätsanbieter, dessen Anmeldeseite das Schema missbrauchte, der Ermittler, der die Plattform per Reverse Engineering analysierte, und die Quelle der Opferzahlen – in allen drei Rollen dieselbe Organisation. Seine Darstellung ist detailliert und in sich stimmig, und sie wird in jedem Punkt bestätigt, den unabhängige Medien überprüft haben, einschließlich der Preisgestaltung, des Mechanismus und der Festnahmen. Die Opferzahlen wurden nicht unabhängig verifiziert.

Die Zerschlagung: ein Zivilverfahren, zwei Festnahmen und was sie nicht belegen

Microsofts Vorgehen lief auf zwei Gleisen. In den Vereinigten Staaten erhielt die Digital Crimes Unit mit Health-ISAC als Mitkläger die Genehmigung des U.S. District Court for the Eastern District of Virginia und arbeitete anschließend mit Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation und TRM Labs zusammen, „um gegen zentrale Teile der Plattform vorzugehen“, wie Microsoft es formulierte. Microsoft gibt an, 50 Websites beschlagnahmt zu haben, die für den Betrieb des Dienstes genutzt wurden, und mehr als 150 weitere Domains deaktiviert zu haben, die mit dessen Infrastruktur verbunden waren. Das Unternehmen bezeichnet die Operation als seine 40. gerichtlich genehmigte Störung und als seine erste gegen das, was es als „einen durchgängig KI-gestützten Cybercrime-Dienst“ bezeichnet.

Die Klageschrift, auf der dieses Verfahren beruht, benennt zwei im Vereinigten Königreich ansässige Beklagte – Felix Utomi und Waidi Segun Adams – sowie fünf unbenannte Parteien, DOES 1-5, und macht Verstöße gegen den Computer Fraud and Abuse Act, den Electronic Communications Privacy Act, den Lanham Act und den Racketeer Influenced and Corrupt Organizations Act geltend. Die von Microsofts Digital Crimes Unit veröffentlichte Kopie trägt den Stempel „filed under seal“, enthält kein Aktenzeichen und beschreibt zwei Beklagte, die Infrastrukturanbieter sind, drei Support-Mitarbeiter, die nur anhand ihrer Telegram-Handles und Berufsbezeichnungen beschrieben werden, sowie zwei Endnutzer, deren Zugriff einen in Virginia ansässigen Microsoft-Kunden und ein in Virginia ansässiges Health-ISAC-Mitglied umfasste. SecurityWeek berichtet, dass die Klageschrift außerdem fünf unbenannte Personen ins Visier nimmt. Die Zusammenfassung des Falls im Archiv verzeichnet, dass ein im Vereinigten Königreich registriertes Unternehmen, das hinter der Plattform steht, in den Schriftsätzen genannt wird; das veröffentlichte Rubrum nennt ausschließlich Einzelpersonen, und weder die Beiträge von Microsoft noch die hier geprüften Berichte benennen ein beklagtes Unternehmen.

Unabhängig davon nahm das Cybercrime-Team des Metropolitan Police Service am 11. September 2026 zwei Männer im Alter von 32 und 38 Jahren fest und beschlagnahmte digitale Geräte und andere Gegenstände. Beide wurden gegen Auflagen auf Polizeibürgschaft freigelassen, während die Ermittlungen andauern, teilte die Digital Crimes Unit mit. Die Met bestätigte die Festnahmen gegenüber The Record und erklärte, die Männer seien unter dem Verdacht festgehalten worden, Gegenstände zur Verwendung bei Betrug und Geldwäsche herzustellen; Microsoft, das den Vorfall im August bei der Polizei gemeldet hatte, lehnte es gegenüber diesem Medium ab, sie zu identifizieren. Detective Inspector Serena D'Adamo, deren Team die Ermittlungen leitete, sagte: „Phishing-Dienste bringen Tausenden Leid und nehmen alltäglichen Menschen weltweit Geld ab.“

Was in den Unterlagen nicht steht, ist ebenso erwähnenswert. Es wurden keine Anklagen angekündigt. Kein Gericht hat gegen irgendjemanden eine Feststellung getroffen. In einer Zivilklage genannt zu werden, ist ein Vorwurf, keine Verurteilung, und die beiden festgenommenen Männer wurden gegen Kaution freigelassen, statt angeklagt zu werden. Nichts Veröffentlichtes deutet darauf hin, dass die beschlagnahmte Infrastruktur einem konkreten Betrugsschaden zugeordnet wurde; weder Microsofts Beiträge noch die hier geprüfte Berichterstattung bringen sie mit einem solchen in Verbindung, und Microsofts eigene Darstellung lautet, dass Störung nicht Auslöschung ist: „Die Infrastruktur, die EvilTokens unterstützt, wurde gestört, aber das Modell, das damit demonstriert wurde, wird nicht mit ihr verschwinden“, schrieb Masada.

Was Microsoft zufolge Verteidiger tun sollten

Die Anleitung des Security Blog ist ungewöhnlich konkret und ist der Teil der Episode mit der breitesten Anwendbarkeit. Ihre erste Empfehlung ist, den Gerätecodeflow überall dort, wo er nicht benötigt wird, vollständig zu blockieren; wo Teams-Geräte ihn erfordern, die Ausnahme auf bestimmte Teams-Geräte-Ressourcenkonten zu beschränken und die Ressource Device Registration Service von Conditional Access auszuschließen. Darüber hinaus rät sie zu phishing-resistenter Multi-Faktor-Authentifizierung wie FIDO-Token oder Microsoft Authenticator-Passkeys, zum Blockieren von Legacy-Authentifizierung und zum Vermeiden von Telefonie-MFA; zur Aktivierung von Safe Links, wodurch laut ihr auch Warnungen zu Gerätecode-Phishing mit hoher Konfidenz aktiviert werden; zur Anhebung des Advanced Phishing Threshold auf 2 oder 3; zur Aktivierung von Zero-Hour Auto Purge; und zu Benachrichtigungen bei verdächtiger Erstellung von Posteingangsregeln.

Für Incident-Responder weist der Security Blog auf eine Falle hin, die erklärt, warum diese Eindringversuche fortbestehen. Die standardmäßige Sitzungswiderrufung mit revokeSignInSessions macht möglicherweise nur Refresh-Tokens ungültig, sodass Access-Tokens bis zu einer Stunde lang gültig bleiben – daher empfiehlt Microsoft, ein kompromittiertes Konto zur sofortigen Eindämmung vorübergehend zu deaktivieren und bei vermutetem Diebstahl von Refresh-Tokens das Token-Diebstahl-Playbook anzuwenden. Die Digital Crimes Unit ergänzt eine Kontrolle, die kein Produkt bietet: Anfragen zur Änderung von Zahlungsinformationen, zur Umleitung von Geldern oder zur Genehmigung ungewöhnlicher Transaktionen über einen vertrauenswürdigen zweiten Kanal unabhängig zu prüfen. Die von der Einheit genannte Lehre für Organisationen lautet: „Sobald ein Posteingang kompromittiert ist, können Kriminelle seinen Inhalt in Minuten statt in Tagen verstehen.“

Keine dieser Empfehlungen wurde unabhängig bewertet, und die Unterlagen enthalten keine Messung darüber, wie viele der betroffenen Organisationen den Device-Code-Flow aktiviert hatten oder wie viele ihn inzwischen blockiert haben. Microsoft hat nach eigenen Angaben betroffene Kunden benachrichtigt und bei der Wiederherstellung kompromittierter Konten geholfen; was die einzelnen Organisationen als Reaktion unternommen haben, ist nicht öffentlich.

Das Archiv ordnet den Eintrag als eingetretenen Vorfall ein, Schweregrad hoch, Konfidenz A, nicht bestritten, mit dokumentiertem realem Schaden und bestätigter KI-Beteiligung, datiert auf den einzigen Tag von Microsofts Ankündigung. Diese Einstufung spiegelt wider, wie gut das Ereignis dokumentiert ist – zwei Microsoft-Beiträge, eine Gerichtseinreichung und unabhängige Berichterstattung, die in Mechanismus, Preisgestaltung und Festnahmen übereinstimmt –, und sie ist der Grund, warum dieser Bericht konkret zur Angriffskette sein kann. Sie verwandelt Microsofts Opferzahlen nicht in eine geprüfte Zahl und macht die zivilrechtlichen Vorwürfe gegen zwei namentlich genannte Männer nicht zu Feststellungen. Der belastbarere Punkt ist womöglich der, den Microsoft gegen das eigene Interesse anführt: Die Infrastruktur ist abgeschaltet, das Muster – eine gestohlene Sitzung, ein Assistent, der das Postfach liest, und ein in Minuten entworfener Betrugsplan – aber nicht.