Microsoft smantella EvilTokens, un servizio di phishing assistito dall'AI collegato a 12.000 caselle di posta

Il 22 settembre 2026 Microsoft ha dichiarato di aver smantellato EvilTokens, una piattaforma di phishing-as-a-service collegata a più di 12.000 caselle di posta elettronica compromesse presso oltre 10.000 organizzazioni. Dopo il suo lancio nel febbraio 2026, le vittime si sono concentrate negli Stati Uniti, in Canada, nel Regno Unito, in Australia, in India e in Francia, indotte a digitare un codice monouso nella pagina di accesso autentica di Microsoft, dando così agli aggressori accesso alla loro posta senza dover fornire una password. Al centro del servizio c'era un assistente basato sull'IA che leggeva la casella di posta rubata, individuava chi approva i pagamenti e chi vale la pena impersonare, e redigeva il messaggio di follow-up. La Digital Crimes Unit di Microsoft ha ottenuto l'autorizzazione del tribunale in Virginia, ha sequestrato 50 siti web e disattivato più di 150 domini; la polizia britannica ha arrestato due uomini l'11 settembre. Il resoconto completo dell'archivio relativo all'operazione di smantellamento, con la sua classificazione e le fonti citate, si trova in l'archivio degli incidenti legati all'IA insieme alle altre voci di questa serie.

La piattaforma, e il trucco di accesso che ha industrializzato

EvilTokens non aveva bisogno di password. Sfruttava il flusso di autorizzazione del dispositivo OAuth, il meccanismo alla base dell'accesso su dispositivi privi di tastiera o browser — smart TV, stampanti, periferiche per conferenze e sale Microsoft Teams. Quel flusso mostra un codice breve su un dispositivo e chiede all'utente di digitarlo in una sessione browser su un altro. Il blog sulla sicurezza di Microsoft spiega perché questa separazione sia il punto debole: chi avvia il flusso è la parte che finisce per risultare autenticata.

Nella catena descritta dal team di intelligence sulle minacce di Microsoft, un'email a tema pressione — una fattura, un avviso di condivisione file — conduce a una pagina dell'attaccante. Uno script in background su quella pagina comunica in tempo reale con il provider di identità di Microsoft e genera un codice dispositivo attivo, che mostra con un pulsante di copia accanto a un link "Continua con Microsoft". Quel link porta al portale autentico microsoft.com/devicelogin. Mentre la vittima si autentica, lo script interroga ogni tre o cinque secondi un endpoint /state sul server dell'attaccante per i quindici minuti di validità del codice, in attesa di vedere se l'accesso è andato a buon fine. Poiché un browser con una sessione già attiva può completare il passaggio in pochi secondi, spesso il codice viene copiato negli appunti e incollato direttamente. La password della vittima non viene mai digitata in qualcosa controllato dall'attaccante e nessun ripristino della password annulla ciò che è accaduto: "Quell'accesso potrebbe persistere anche dopo un ripristino della password se le sessioni e i token associati non fossero anche revocati", ha scritto Steven Masada, consigliere generale associato e direttore generale della Digital Crimes Unit di Microsoft, nel post dell'unità.

Ciò che la piattaforma ha aggiunto è stata la ripetibilità. Microsoft afferma che EvilTokens ha distribuito 44 diversi temi di phishing e un insieme di modelli e pagine di destinazione, e che l’attore da essa tracciato come Storm-2992 ha pubblicizzato, venduto, aggiornato e supportato il kit su Telegram. Secondo quanto riporta il Security Blog, una campagna di aprile 2026 ha utilizzato piattaforme di automazione per generare rapidamente migliaia di nodi di polling unici e di breve durata con logica backend Node.js, un design pensato espressamente per sconfiggere il rilevamento basato su firme. Microsoft riconosce a Huntress le osservazioni sui temi in circolazione, tra cui proposte di offerte per lavori edili e avvisi di scadenza password. Secondo il Security Blog, dopo la compromissione alcuni operatori registravano un nuovo dispositivo entro dieci minuti per ottenere un Primary Refresh Token ai fini di un accesso persistente; altri attendevano ore prima di creare regole per la posta in arrivo ed esfiltrare le email.

Cosa ha fatto l'IA all'interno della casella di posta

La descrizione dell'IA fatta da Microsoft è più specifica della frase a effetto "ha usato l'IA in ogni fase della catena d'attacco" e merita una lettura attenta. Secondo la Digital Crimes Unit, al centro del servizio c'era "un chatbot in stile IA in grado di analizzare la casella di posta di una vittima e aiutare i criminali a individuare relazioni di fiducia, autorizzazioni di pagamento e responsabilità sensibili, nonché altre circostanze in cui la frode aveva maggiori probabilità di riuscire". Poteva riassumere e tradurre le email, far emergere conversazioni finanziarie, mappare i ruoli organizzativi e consigliare gli obiettivi. Prompt preimpostati consentivano a un abbonato di cercare discussioni su bonifici, trovare le "persone che muovono il denaro" dell'organizzazione, individuare fatture dei fornitori e classificare le persone migliori da impersonare. Poteva anche redigere messaggi fingendosi contatti fidati.

Questa è analisi e redazione, non autonomia. Il sistema leggeva ciò che un operatore aveva già sottratto, lo classificava per priorità e proponeva una mossa successiva; un cliente pagante sceglieva se inviare. Nessuno dei materiali esaminati qui descrive EvilTokens che compone e invia esche senza un abbonato umano, o che sposta fondi da solo. L'atto depositato da Microsoft e Health-ISAC definisce il piano "una sofisticata cospirazione di compromissione della posta elettronica aziendale alimentata dall'impiego end-to-end di agenti di intelligenza artificiale" — questa è la caratterizzazione degli attori in un atto giudiziario, e le funzioni che l'atto prosegue descrivendo sono recupero, classificazione e redazione all'interno di un pannello di controllo gestito da un cliente.

Il dettaglio più concreto dello stack di IA proviene da quella denuncia, che Microsoft pubblica tramite la sua Digital Crimes Unit. Si sostiene che i convenuti abbiano integrato i servizi di IA di Groq nelle prime versioni del pannello di controllo EvilTokens e, più recentemente, i servizi di OpenAI in una versione aggiornata, e riproduce un prompt di sistema che presenta l'assistente come un esperto operatore di business email compromise e specialista in frodi tramite bonifico, disponibile per impostazione predefinita a ogni utente finale. Gli investigatori di Microsoft hanno anche concluso che ampie porzioni della piattaforma erano state "vibe coded", con l'IA che ha aiutato i suoi creatori a costruirla, e che essa "attingeva a capacità di più modelli di IA". Alla domanda su quali altri fossero, un portavoce di Microsoft ha rifiutato di dirlo, riferisce The Record. OpenAI è inoltre accreditata separatamente come partner nell'operazione di smantellamento.

I numeri, e chi li ha contati

La scala dei titoli è quella di Microsoft. "Entro pochi mesi dal lancio, avvenuto nel febbraio 2026, EvilTokens era stato collegato a più di 12,000 caselle di posta elettronica compromesse in oltre 10,000 organizzazioni in tutto il mondo", ha scritto la Digital Crimes Unit; il Security Blog ripete la cifra, e SecurityWeek e Help Net Security la riportano entrambi. La denuncia afferma lo stesso con parole proprie — "oltre 12,000 vittime compromesse di Microsoft". Nessun organismo indipendente ha pubblicato un conteggio separato, e il ruolo di Health-ISAC era quello di unirsi come coquerelante perché le organizzazioni sanitarie erano tra gli obiettivi, non di verificare il conteggio.

Microsoft segnala le concentrazioni più elevate di attività delle vittime negli Stati Uniti, in Canada, nel Regno Unito, in Australia, in India e in Francia, e indica come settori colpiti la distribuzione all'ingrosso, l'edilizia, i servizi finanziari, il settore immobiliare, l'istruzione superiore e l'assistenza sanitaria. La formulazione "concentrazioni più elevate" è importante: quei sei paesi sono quelli in cui l'attività si è concentrata, non un elenco completo dei luoghi in cui si trovavano le vittime. L'atto di accusa sostiene che l'organizzazione esisteva per "facilitare reati finanziari per milioni di dollari", ma le dichiarazioni pubbliche esaminate per questo articolo non forniscono alcuna cifra delle perdite e nessuna vittima è stata nominata.

Un punto strutturale incide sul peso che i conteggi possono avere. Microsoft è il fornitore di identità la cui pagina di accesso è stata sfruttata dallo schema, l’investigatore che ha effettuato il reverse engineering della piattaforma e la fonte dei numeri delle vittime — la stessa organizzazione in tutti e tre i ruoli. Il suo resoconto è dettagliato e coerente al proprio interno, ed è corroborato su ogni punto verificato da testate indipendenti, inclusi i prezzi, il meccanismo e gli arresti. I conteggi delle vittime non sono stati verificati in modo indipendente.

Lo smantellamento: un caso civile, due arresti e ciò che non dimostrano

L'azione di Microsoft si è mossa su due fronti. Negli Stati Uniti, la Digital Crimes Unit ha ottenuto l'autorizzazione dalla Corte distrettuale degli Stati Uniti per il Distretto orientale della Virginia, con Health-ISAC in qualità di coattore, e ha poi collaborato con Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation e TRM Labs «per agire contro parti chiave della piattaforma», per usare le sue parole. Microsoft afferma di aver sequestrato 50 siti web usati per gestire il servizio e di aver disattivato oltre 150 domini aggiuntivi legati alla sua infrastruttura. Definisce l'operazione la sua 40ª interruzione autorizzata dal tribunale e la prima contro quello che chiama «un servizio di cybercriminalità end-to-end basato sull'IA».

La denuncia alla base di tale azione nomina due convenuti residenti nel Regno Unito — Felix Utomi e Waidi Segun Adams — oltre a cinque parti non nominate, DOES 1-5, e deduce violazioni del Computer Fraud and Abuse Act, dell'Electronic Communications Privacy Act, del Lanham Act e del Racketeer Influenced and Corrupt Organizations Act. La copia pubblicata dalla Digital Crimes Unit di Microsoft reca il timbro «filed under seal», non riporta alcun numero di causa e descrive due convenuti fornitori di infrastrutture, tre membri del personale di supporto descritti solo tramite i loro handle di Telegram e i loro titoli professionali, e due utenti finali il cui accesso comprendeva un cliente Microsoft con sede in Virginia e un membro di Health-ISAC con sede in Virginia. SecurityWeek riferisce che la denuncia prende di mira anche cinque individui non nominati. Il riepilogo del caso dell'archivio riporta che una società registrata nel Regno Unito dietro la piattaforma è nominata negli atti; l'intestazione pubblicata nomina solo individui, e né i post di Microsoft né i resoconti esaminati qui identificano un convenuto societario.

Separatamente, la squadra contro la criminalità informatica del Metropolitan Police Service ha arrestato due uomini, di 32 e 38 anni, l'11 settembre 2026, sequestrando dispositivi digitali e altri oggetti. Entrambi sono stati rilasciati su cauzione della polizia con delle condizioni mentre l'indagine prosegue, ha dichiarato la Digital Crimes Unit. Il Met ha confermato gli arresti a The Record e ha affermato che gli uomini sono stati fermati con l'accusa di fabbricazione di articoli destinati alla frode e al riciclaggio di denaro; Microsoft, che ha segnalato la vicenda alle forze dell'ordine in agosto, ha rifiutato di identificarli a quella testata. Il detective ispettore Serena D'Adamo, il cui team ha guidato l'indagine, ha dichiarato: "I servizi di phishing portano sofferenza a migliaia di persone, sottraendo denaro a gente comune in tutto il mondo."

Quello che il fascicolo non contiene merita di essere affermato allo stesso modo. Non è stata annunciata alcuna accusa. Nessun tribunale ha formulato alcun accertamento nei confronti di alcuno. Essere nominati in una denuncia civile è un'accusa, non una condanna, e i due uomini arrestati sono stati rilasciati su cauzione anziché incriminati. Nulla di quanto pubblicato indica che l'infrastruttura sequestrata sia stata ricondotta a una specifica perdita per frode; né i post di Microsoft né la trattazione esaminata qui la collegano a una tale perdita, e la stessa impostazione di Microsoft è che l'interruzione non è eradicazione: «L'infrastruttura che supporta EvilTokens è stata neutralizzata, ma il modello che ha dimostrato non scomparirà con essa», ha scritto Masada.

Cosa dice Microsoft che i difensori dovrebbero fare

La guida del Security Blog è insolitamente concreta ed è la parte dell'episodio con l'applicabilità più ampia. La sua prima raccomandazione è bloccare del tutto il flusso di codice del dispositivo ovunque non sia necessario; dove i dispositivi Teams lo richiedono, restringere l'eccezione ad account di risorsa specifici per i dispositivi Teams ed escludere la risorsa Device Registration Service dall'Accesso condizionato. Inoltre consiglia l'autenticazione a più fattori resistente al phishing, come token FIDO o passkey di Microsoft Authenticator, bloccando l'autenticazione legacy ed evitando l'MFA telefonica; abilitare Safe Links, che a suo dire abilita anche avvisi di phishing da codice del dispositivo ad alta affidabilità; aumentare la soglia di phishing avanzata a 2 o 3; attivare l'eliminazione automatica a zero ore; e generare avvisi sulla creazione sospetta di regole della posta in arrivo.

Per i responsabili degli interventi, il Security Blog segnala una trappola che spiega perché queste intrusioni persistono. La revoca standard delle sessioni con revokeSignInSessions può invalidare solo i token di aggiornamento, lasciando validi i token di accesso fino a un'ora — perciò Microsoft consiglia di disabilitare temporaneamente un account compromesso per un contenimento immediato e di gestire un sospetto furto di token di aggiornamento con il proprio playbook per il furto di token. La Digital Crimes Unit aggiunge un controllo che nessun prodotto fornisce: verificare in modo indipendente le richieste di modifica delle informazioni di pagamento, di reindirizzamento dei fondi o di approvazione di transazioni inusuali tramite un secondo canale affidabile. La lezione dichiarata dall'unità per le organizzazioni è che «una volta che una casella di posta è compromessa, i criminali possono comprenderne il contenuto in pochi minuti, non in giorni».

Nessuna di queste indicazioni è stata valutata in modo indipendente, e il fascicolo non contiene alcuna misura di quante tra le organizzazioni interessate avessero abilitato il flusso di codice del dispositivo, né di quante lo abbiano da allora bloccato. Microsoft afferma di aver notificato i clienti interessati e di aver contribuito a porre rimedio agli account compromessi; ciò che le singole organizzazioni hanno fatto in risposta non è di pubblico dominio.

L'archivio classifica la voce come un incidente concretizzato, gravità elevata, affidabilità A, non contestato, con danno reale registrato e coinvolgimento dell'IA confermato, datato al giorno stesso dell'annuncio di Microsoft. Quella classificazione riflette quanto bene l'evento è documentato — due post di Microsoft, un atto giudiziario e resoconti indipendenti che concordano sul meccanismo, sulla tariffazione e sugli arresti — ed è il motivo per cui questo resoconto può essere specifico sulla catena d'attacco. Non converte i conteggi delle vittime di Microsoft in una cifra verificata, né trasforma le accuse civili contro due uomini nominati in accertamenti. Il punto più duraturo potrebbe essere quello che Microsoft solleva contro il proprio interesse: l'infrastruttura è abbattuta, ma il modello — una sessione rubata, un assistente che legge la casella di posta e un piano di frode redatto in pochi minuti — non lo è.