Microsoft ontmantelt EvilTokens, een AI-ondersteunde phishingdienst die aan 12.000 inboxen is gekoppeld

Op 22 september 2026 zei Microsoft dat het EvilTokens had ontmanteld, een phishing-as-a-serviceplatform dat in verband werd gebracht met meer dan 12.000 gecompromitteerde e-mailinboxen bij meer dan 10.000 organisaties. Na de lancering in februari 2026 waren slachtoffers geconcentreerd in de Verenigde Staten, Canada, het Verenigd Koninkrijk, Australië, India en Frankrijk; zij werden misleid om een eenmalige code op Microsofts echte aanmeldpagina te typen, waardoor aanvallers toegang kregen tot hun e-mail zonder een wachtwoord prijs te geven. In het hart van de dienst stond een AI-assistent die de gestolen inbox las, vaststelde wie betalingen goedkeurt en wie de moeite waard is om na te doen, en het vervolgbericht opstelde. Microsofts Digital Crimes Unit kreeg in Virginia rechterlijke machtiging, nam 50 websites in beslag en schakelde meer dan 150 domeinen uit; de Britse politie arresteerde op 11 september twee mannen. Het volledige verslag van de ontmanteling in het archief, met de beoordeling en de aangehaalde bronnen, staat in het AI-incidentenarchief naast de andere items in deze reeks.

Het platform, en de inlogtruc die het industrialiseerde

EvilTokens had geen wachtwoorden nodig. Het misbruikte de OAuth-apparaatautorisatiestroom, het mechanisme achter aanmelding op apparaten zonder toetsenbord of browser — smart-tv's, printers, conferentie-eenheden en Microsoft Teams-ruimtes. Die stroom toont een korte code op het ene apparaat en vraagt de gebruiker die in te voeren in een browsersessie op een ander apparaat. Microsoft's Security Blog legt uit waarom die scheiding de zwakte is: wie de stroom start, is uiteindelijk de partij die wordt geauthenticeerd.

In de keten die het threat intelligence-team van Microsoft beschrijft, leidt een e-mail die druk zet — een factuur, een melding over het delen van bestanden — naar een pagina van de aanvaller. Een achtergrondscript op die pagina communiceert in real time met de identiteitsprovider van Microsoft en genereert een live apparaatcode, die het weergeeft met een kopieerknop naast een link 'Doorgaan met Microsoft'. Die link gaat naar de echte microsoft.com/devicelogin portal. Terwijl het slachtoffer zich authenticeert, bevraagt het script elke drie tot vijf seconden een /state endpoint op de eigen server van de aanvaller, gedurende de vijftien minuten dat de code geldig is, om te zien of de aanmelding is aangekomen. Omdat een browser met een bestaande sessie de stap binnen enkele seconden kan voltooien, wordt de code vaak naar het klembord gekopieerd en er direct doorgeplakt. Het wachtwoord van het slachtoffer wordt nooit in iets getypt dat de aanvaller beheert, en geen enkele wachtwoordreset draait terug wat er is gebeurd: "Die toegang kan zelfs na een wachtwoordreset blijven bestaan als de bijbehorende sessies en tokens niet ook zijn ingetrokken," schreef Steven Masada, associate general counsel en general manager van Microsofts Digital Crimes Unit, in het bericht van de unit.

Wat het platform toevoegde, was herhaalbaarheid. Microsoft zegt dat EvilTokens 44 verschillende phishingthema's en een set sjablonen en landingspagina's leverde, en dat de actor die het als Storm-2992 volgt, de kit op Telegram adverteerde, verkocht, bijwerkte en ondersteunde. Een campagne uit april 2026, aldus de Security Blog, gebruikte automatiseringsplatforms om duizenden unieke, kortstondige pollingnodes met Node.js-backendlogica op te zetten, een ontwerp dat er ronduit op gericht was op handtekeninggebaseerde detectie te omzeilen. Microsoft schrijft Huntress observaties toe over de circulerende thema's, waaronder bouwaanbestedingen en meldingen over verlopende wachtwoorden. Na compromittering, merkt de Security Blog op, registreerden sommige operators binnen tien minuten een nieuw apparaat om een Primary Refresh Token voor duurzame toegang te verkrijgen; anderen wachtten uren voordat ze inboxregels aanmaakten en e-mail exfiltreerden.

Wat de AI in de mailbox deed

Microsofts eigen beschrijving van de AI is specifieker dan de kopregel "bij elke stap van de aanvalsketen AI gebruikte", en het is de moeite waard die aandachtig te lezen. In het hart van de dienst stond, aldus de Digital Crimes Unit, "een chatbot in AI-stijl die de inbox van een slachtoffer kon analyseren en criminelen kon helpen vertrouwensrelaties, betalingsautorisaties en gevoelige verantwoordelijkheden te identificeren, evenals andere omstandigheden waarin fraude het meest waarschijnlijk zou slagen." Hij kon e-mails samenvatten en vertalen, financiële gesprekken naar boven halen, organisatorische rollen in kaart brengen en doelwitten aanbevelen. Vooraf ingestelde prompts lieten een abonnee zoeken naar discussies over overboekingen, de "geldverplaatsers" van de organisatie vinden, leveranciersfacturen opsporen en de beste personen rangschikken om zich als hen voor te doen. Hij kon ook berichten opstellen waarin hij zich voordeed als vertrouwde contacten.

Dat is analyse en opstellen, geen autonomie. Het systeem las wat een operator al had gestolen, rangschikte het en stelde een volgende stap voor; een betalende klant koos of er werd verzonden. Geen van de hier beoordeelde materialen beschrijft dat EvilTokens lokberichten opstelt en verstuurt zonder een menselijke abonnee, of zelf geld verplaatst. De klacht die Microsoft en Health-ISAC hebben ingediend, noemt het plan ‘een geavanceerde samenzwering voor business email compromise, aangedreven door end-to-end inzet van AI-agenten’ — dat is de karakterisering van de eisers in een processtuk, en de functies die vervolgens worden beschreven zijn opzoeken, rangschikken en opstellen binnen een bedieningspaneel dat een klant gebruikt.

Het meest concrete detail van de AI-stack komt uit die klacht, die Microsoft via zijn Digital Crimes Unit publiceert. Daarin wordt gesteld dat de verdachten de AI-diensten van Groq hebben geïntegreerd in vroege versies van het EvilTokens-bedieningspaneel en, meer recentelijk, de diensten van OpenAI in een bijgewerkte versie, en er wordt een systeemprompt weergegeven die de assistent neerzet als een doorgewinterde operator voor business email compromise en specialist in overboekingsfraude, standaard beschikbaar voor elke eindgebruiker. De onderzoekers van Microsoft concludeerden ook dat grote delen van het platform "vibe coded" waren, waarbij AI de makers hielp het te bouwen, en dat het "putte uit capaciteiten van meerdere AI-modellen." Gevraagd welke andere het betrof, wilde een woordvoerder van Microsoft het niet zeggen, meldt The Record. OpenAI wordt afzonderlijk genoemd als partner bij de verstoring.

De cijfers, en wie ze heeft geteld

De schaal die in de koppen wordt genoemd, is die van Microsoft. "Binnen maanden na de lancering in februari 2026 werd EvilTokens in verband gebracht met meer dan 12.000 gecompromitteerde e-mailpostvakken bij meer dan 10.000 organisaties wereldwijd," schreef de Digital Crimes Unit; de Security Blog herhaalt het cijfer, en SecurityWeek en Help Net Security nemen het beide over. De klacht zegt hetzelfde in haar eigen bewoordingen — "meer dan 12.000 gecompromitteerde slachtoffers van Microsoft." Geen enkele onafhankelijke instantie heeft een afzonderlijke telling gepubliceerd, en de rol van Health-ISAC was om zich als mede-eiser aan te sluiten omdat zorgorganisaties tot de doelwitten behoorden, niet om het aantal te controleren.

Microsoft meldt de hoogste concentraties slachtofferactiviteit in de Verenigde Staten, Canada, het Verenigd Koninkrijk, Australië, India en Frankrijk, en noemt de getroffen sectoren groothandel, bouw, financiële dienstverlening, vastgoed, hoger onderwijs en gezondheidszorg. De formulering {{1}}hoogste concentraties{{/1}} is belangrijk: die zes landen zijn waar de activiteit zich concentreerde, niet een volledige lijst van waar slachtoffers waren. De aanklacht stelt dat de onderneming bestond om {{2}}financiële misdrijven ter waarde van miljoenen dollars te vergemakkelijken{{/2}}, maar de openbare verklaringen die voor dit artikel zijn bekeken, geven geen verliesbedrag, en er is geen slachtoffer genoemd.

Eén structureel punt is van invloed op hoeveel gewicht de aantallen kunnen dragen. Microsoft is de identiteitsprovider wiens inlogpagina door de constructie werd misbruikt, de onderzoeker die het platform via reverse engineering heeft ontleed, en de bron van de slachtofferaantallen — dezelfde organisatie in alle drie de rollen. Zijn relaas is gedetailleerd en intern consistent, en het wordt gestaafd op elk punt dat onafhankelijke media hebben gecontroleerd, inclusief de prijsstelling, het mechanisme en de arrestaties. De slachtofferaantallen zijn niet onafhankelijk geverifieerd.

De ontmanteling: een civiele zaak, twee arrestaties, en wat ze niet aantonen

De actie van Microsoft liep langs twee sporen. In de Verenigde Staten verkreeg de Digital Crimes Unit toestemming van de U.S. District Court for the Eastern District of Virginia, met Health-ISAC als mede-eiser, en werkte vervolgens samen met Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation en TRM Labs "om op te treden tegen belangrijke onderdelen van het platform", in zijn woorden. Microsoft zegt dat het beslag heeft gelegd op 50 websites die werden gebruikt om de dienst te exploiteren en meer dan 150 extra domeinen die aan zijn infrastructuur waren gekoppeld, heeft uitgeschakeld. Het noemt de operatie zijn 40e door de rechter goedgekeurde ontwrichtingsactie en zijn eerste tegen wat het noemt "een end-to-end, door AI ondersteunde cybercrimedienst."

De klacht die aan die rechtszaak ten grondslag ligt, noemt twee in het Verenigd Koninkrijk woonachtige gedaagden — Felix Utomi en Waidi Segun Adams — plus vijf niet bij naam genoemde partijen, DOES 1-5, en voert schendingen aan van de Computer Fraud and Abuse Act, de Electronic Communications Privacy Act, de Lanham Act en de Racketeer Influenced and Corrupt Organizations Act. Het exemplaar dat door de Digital Crimes Unit van Microsoft is gepubliceerd, is voorzien van de stempel 'onder zegel ingediend', bevat geen zaaknummer en beschrijft twee gedaagden die infrastructuurleverancier zijn, drie ondersteunende medewerkers die alleen met hun Telegram-handles en functietitels worden aangeduid, en twee eindgebruikers wier toegang een Microsoft-klant in Virginia en een Health-ISAC-lid in Virginia omvatte. SecurityWeek meldt dat de klacht zich ook richt op vijf niet bij naam genoemde personen. De samenvatting van de zaak in het archief vermeldt dat een in het VK geregistreerde onderneming achter het platform in de processtukken wordt genoemd; het gepubliceerde opschrift noemt alleen personen, en noch de berichten van Microsoft noch de hier beoordeelde berichtgeving noemt een gedaagde rechtspersoon.

Los daarvan arresteerde het cybercrimeteam van de Metropolitan Police Service op 11 september 2026 twee mannen van 32 en 38 jaar en nam digitale apparaten en andere voorwerpen in beslag. Beiden werden op borgtocht van de politie vrijgelaten met voorwaarden terwijl het onderzoek doorgaat, zei de Digital Crimes Unit. De Met bevestigde de arrestaties aan The Record en zei dat de mannen werden aangehouden op verdenking van het vervaardigen van voorwerpen voor gebruik bij fraude en witwassen; Microsoft, dat de kwestie in augustus bij de politie meldde, wilde hen niet identificeren aan dat medium. Detective Inspector Serena D'Adamo, wier team het onderzoek leidde, zei: "Phishingdiensten veroorzaken ellende voor duizenden en ontnemen gewone mensen over de hele wereld geld."

Wat het dossier niet bevat, is evenzeer het vermelden waard. Er zijn geen aanklachten aangekondigd. Geen enkele rechtbank heeft een uitspraak tegen iemand gedaan. In een civiele klacht genoemd worden is een beschuldiging, geen veroordeling, en de twee gearresteerde mannen zijn op borgtocht vrijgelaten in plaats van aangeklaagd. Niets gepubliceerd wijst erop dat de in beslag genomen infrastructuur is herleid tot een specifiek fraudeverlies; noch Microsofts berichten noch de hier besproken berichtgeving brengt die daarmee in verband, en Microsofts eigen framing is dat verstoring geen uitroeiing is: "De infrastructuur die EvilTokens ondersteunt, is verstoord, maar het model dat het demonstreerde zal niet met die infrastructuur verdwijnen," schreef Masada.

Wat Microsoft zegt dat verdedigers moeten doen

De richtlijnen van de Security Blog zijn ongewoon concreet, en het is het deel van de aflevering met de breedste toepasbaarheid. De eerste aanbeveling is om de device code flow volledig te blokkeren waar deze niet nodig is; waar Teams-apparaten deze vereisen, de uitzondering te beperken tot specifieke resourceaccounts voor Teams-apparaten en de Device Registration Service-resource uit te sluiten van Conditional Access. Daarnaast adviseert het phishingresistente multi-factorauthenticatie, zoals FIDO-tokens of Microsoft Authenticator-passkeys, om verouderde authenticatie te blokkeren en telefonische MFA te vermijden; Safe Links in te schakelen, wat volgens het blog ook waarschuwingen met hoge betrouwbaarheid voor device code phishing mogelijk maakt; de Advanced Phishing Threshold te verhogen naar 2 of 3; zero-hour auto purge in te schakelen; en waarschuwingen in te stellen voor het aanmaken van verdachte inboxregels.

Voor responders wijst het Security Blog op een valkuil die verklaart waarom deze inbraken aanhouden. Het standaard intrekken van sessies met revokeSignInSessions maakt mogelijk alleen refresh tokens ongeldig, waardoor access tokens tot een uur geldig blijven — daarom raadt Microsoft aan een gecompromitteerd account tijdelijk uit te schakelen voor onmiddellijke indamming, en vermoede diefstal van refresh tokens te behandelen met het playbook voor tokendiefstal. De Digital Crimes Unit voegt een controle toe die geen enkel product levert: verifieer onafhankelijk, via een vertrouwd tweede kanaal, verzoeken om betalingsgegevens te wijzigen, geld om te leiden of ongebruikelijke transacties goed te keuren. De les die de eenheid voor organisaties noemt, is dat "zodra een inbox is gecompromitteerd, criminelen de inhoud ervan binnen enkele minuten kunnen doorgronden, niet in dagen."

Niets van dat advies is onafhankelijk geëvalueerd, en in het dossier staat niet hoeveel van de getroffen organisaties device code flow hadden ingeschakeld of hoeveel het sindsdien hebben geblokkeerd. Microsoft heeft getroffen klanten op de hoogte gebracht en geholpen gecompromitteerde accounts te herstellen, zegt het bedrijf; wat afzonderlijke organisaties als reactie hebben gedaan, is niet openbaar.

Het archief classificeert de vermelding als een daadwerkelijk plaatsgevonden incident, ernst hoog, betrouwbaarheid A, niet betwist, met geregistreerde reële schade en bevestigde AI-betrokkenheid, gedateerd op de dag van Microsofts aankondiging zelf. Die beoordeling weerspiegelt hoe goed de gebeurtenis is gedocumenteerd — twee Microsoft-berichten, een rechtbankdocument en onafhankelijke berichtgeving die het eens is over het mechanisme, de prijsstelling en de arrestaties — en dat is de reden waarom dit verslag specifiek kan zijn over de aanvalsketen. Het maakt van Microsofts slachtofferaantallen geen geauditeerd cijfer, en het maakt van de civiele beschuldigingen tegen twee met naam genoemde mannen geen vaststellingen. Het duurzamere punt is misschien wel het punt dat Microsoft tegen zijn eigen belang in maakt: de infrastructuur ligt plat, maar het sjabloon — een gestolen sessie, een assistent die de inbox leest en een fraudeplan dat in enkele minuten is opgesteld — niet.