Microsoft rozbija EvilTokens, wspomagany przez AI serwis phishingowy powiązany z 12 000 skrzynek pocztowych

22 września 2026 r. Microsoft poinformował, że rozbił EvilTokens, platformę phishing-as-a-service powiązaną z ponad 12 000 przejętych skrzynek e-mail w ponad 10 000 organizacji. Po jej uruchomieniu w lutym 2026 r. ofiary były skupione w Stanach Zjednoczonych, Kanadzie, Wielkiej Brytanii, Australii, Indiach i Francji; nakłoniono je do wpisania jednorazowego kodu na autentycznej stronie logowania Microsoftu, co dało atakującym dostęp do ich poczty bez podawania hasła. W centrum usługi znajdował się asystent AI, który czytał przejętą skrzynkę odbiorczą, ustalał, kto zatwierdza płatności i kogo warto udawać, oraz przygotowywał kolejną wiadomość. Jednostka Microsoftu ds. Przestępczości Cyfrowej (Digital Crimes Unit) uzyskała zgodę sądu w Wirginii, przejęła 50 witryn i wyłączyła ponad 150 domen; brytyjska policja aresztowała dwóch mężczyzn 11 września. Pełny zapis tej akcji w archiwum, wraz z jego oceną i cytowanymi źródłami, znajduje się w archiwum incydentów AI obok pozostałych wpisów w tej serii.

Platforma i sztuczka z logowaniem, którą uprzemysłowiła

EvilTokens nie potrzebował haseł. Wykorzystywał przepływ autoryzacji urządzenia OAuth — mechanizm stojący za logowaniem na urządzeniach bez klawiatury lub przeglądarki — inteligentnych telewizorach, drukarkach, jednostkach konferencyjnych i pokojach Microsoft Teams. Przepływ ten wyświetla krótki kod na jednym urządzeniu i prosi użytkownika o wpisanie go w sesji przeglądarki na innym. Microsoft's Security Blog wyjaśnia, dlaczego ta separacja jest słabością: strona, która rozpoczyna przepływ, jest ostatecznie tą uwierzytelnioną.

W łańcuchu opisywanym przez zespół ds. analizy zagrożeń Microsoftu wiadomość e-mail o tematyce wywierającej presję — faktura, powiadomienie o udostępnieniu pliku — prowadzi do strony atakującego. Skrypt działający w tle na tej stronie komunikuje się w czasie rzeczywistym z dostawcą tożsamości Microsoftu i generuje aktywny kod urządzenia, który wyświetla z przyciskiem kopiowania obok linku „Kontynuuj z Microsoft”. Ten link prowadzi do autentycznego microsoft.com/devicelogin portalu. Gdy ofiara się uwierzytelnia, skrypt co trzy do pięciu sekund odpytuje punkt końcowy /state na własnym serwerze atakującego przez piętnastominutowy okres ważności kodu, czekając, czy logowanie się powiodło. Ponieważ przeglądarka z istniejącą sesją może ukończyć ten krok w kilka sekund, kod jest często kopiowany do schowka i wklejany od razu. Hasło ofiary nigdy nie jest wpisywane w nic, co kontroluje atakujący, a żadne zresetowanie hasła nie cofa tego, co się stało: „Ten dostęp może utrzymywać się nawet po zresetowaniu hasła, jeśli powiązane sesje i tokeny również nie zostały unieważnione” — napisał Steven Masada, zastępca głównego radcy prawnego i dyrektor generalny Microsoft's Digital Crimes Unit, w poście jednostki.

To, co dodała platforma, to powtarzalność. Microsoft twierdzi, że EvilTokens zawierał 44 różne motywy phishingowe oraz zestaw szablonów i stron docelowych, a także że śledzony przez niego jako Storm-2992 aktor reklamował, sprzedawał, aktualizował i wspierał ten zestaw narzędzi na Telegramie. Jak donosi Security Blog, kampania z kwietnia 2026 r. wykorzystywała platformy automatyzacji do uruchamiania tysięcy unikalnych, krótkotrwałych węzłów pollingowych z logiką backendu Node.js — rozwiązanie zaprojektowane wprost do pokonywania wykrywania opartego na sygnaturach. Microsoft przypisuje Huntress zasługę za obserwacje dotyczące krążących motywów, w tym ofert przetargowych na roboty budowlane i powiadomień o wygaśnięciu hasła. Jak zauważa Security Blog, po kompromitacji niektórzy operatorzy rejestrowali nowe urządzenie w ciągu dziesięciu minut, aby uzyskać Primary Refresh Token zapewniający trwały dostęp; inni czekali godzinami, zanim utworzyli reguły skrzynki odbiorczej i wyeksfiltrowali pocztę.

Co AI zrobiło w skrzynce mailowej

Własny opis AI autorstwa Microsoftu jest bardziej konkretny niż nagłówkowe sformułowanie „wykorzystano AI na każdym etapie łańcucha ataku” i wart jest uważnej lektury. W centrum usługi — jak twierdzi Digital Crimes Unit — znajdował się „chatbot w stylu AI, który potrafił analizować skrzynkę odbiorczą ofiary i pomagać przestępcom w identyfikowaniu zaufanych relacji, autoryzacji płatności i wrażliwych obowiązków, a także innych okoliczności, w których oszustwo miało największe szanse powodzenia”. Potrafił streszczać i tłumaczyć e-maile, wydobywać na wierzch rozmowy finansowe, mapować role w organizacji i rekomendować cele. Gotowe polecenia pozwalały subskrybentowi wyszukiwać dyskusje o przelewach, znajdować „osoby odpowiedzialne za pieniądze” w organizacji, lokalizować faktury dostawców i szeregować najlepsze osoby do podszycia się. Mógł też przygotowywać wiadomości, podszywając się pod zaufane kontakty.

To analiza i redagowanie, a nie autonomia. System odczytał to, co operator już ukradł, uszeregował to i zaproponował kolejny krok; płacący klient decydował, czy wysłać. Żaden z omawianych tu materiałów nie opisuje, jak EvilTokens samodzielnie komponuje i rozsyła wabiki bez człowieka-subskrybenta ani jak samodzielnie przenosi środki. Pozew złożony przez Microsoft i Health-ISAC nazywa ten proceder „wyrafinowanym spiskiem w zakresie kompromitacji poczty biznesowej, napędzanym kompleksowym wdrożeniem agentów sztucznej inteligencji” — to charakterystyka powodów zawarta w piśmie procesowym, a opisane dalej funkcje to wyszukiwanie, rankingowanie i redagowanie wewnątrz panelu sterowania obsługiwanego przez klienta.

Najbardziej konkretny szczegół dotyczący stosu AI pochodzi z tej skargi, którą Microsoft publikuje za pośrednictwem swojej Digital Crimes Unit. Zarzuca się w niej, że pozwani zintegrowali usługi AI Groq z wczesnymi wersjami panelu sterowania EvilTokens, a niedawno usługi OpenAI z jego zaktualizowaną wersją, i przytacza się prompt systemowy, który przedstawia asystenta jako doświadczonego operatora oszustw typu business email compromise i specjalistę ds. oszustw przelewowych, domyślnie dostępnego dla każdego użytkownika końcowego. Śledczy Microsoftu doszli także do wniosku, że duże części platformy były „vibe coded”, a AI pomagała jej twórcom ją zbudować, oraz że „czerpała możliwości z wielu modeli AI”. Zapytany, jakie inne modele, rzecznik Microsoftu odmówił odpowiedzi, podaje The Record. OpenAI jest osobno wymieniane jako partner w działaniach zakłócających.

Liczby i to, kto je policzył

Skala podana w nagłówkach pochodzi od Microsoftu. „W ciągu kilku miesięcy od uruchomienia w lutym 2026 r. EvilTokens powiązano z ponad 12 000 przejętych skrzynek e-mail w ponad 10 000 organizacji na całym świecie” — napisała Digital Crimes Unit; Security Blog powtarza tę liczbę, a SecurityWeek i Help Net Security również ją podają. Pozew mówi to samo własnymi słowami — „ponad 12 000 ofiar naruszeń Microsoftu”. Żaden niezależny podmiot nie opublikował odrębnego zestawienia, a rola Health-ISAC polegała na przystąpieniu w charakterze współpowoda, ponieważ organizacje ochrony zdrowia znalazły się wśród celów, a nie na audytowaniu tej liczby.

Microsoft podaje, że największe skupiska aktywności ofiar występują w Stanach Zjednoczonych, Kanadzie, Wielkiej Brytanii, Australii, Indiach i Francji, a wśród dotkniętych sektorów wymienia dystrybucję hurtową, budownictwo, usługi finansowe, nieruchomości, szkolnictwo wyższe i opiekę zdrowotną. Sformułowanie „największe skupiska” ma znaczenie: te sześć krajów to miejsca, w których skupiała się aktywność, a nie pełna lista miejsc, w których znajdowały się ofiary. Skarga zarzuca, że przedsięwzięcie istniało, aby „ułatwiać przestępstwa finansowe o wartości milionów dolarów”, ale publiczne oświadczenia przeanalizowane na potrzeby tego artykułu nie podają wysokości strat i nie wskazano żadnej ofiary.

Jeden punkt strukturalny wpływa na to, jaką wagę mogą mieć te liczby. Microsoft jest dostawcą tożsamości, którego stronę logowania wykorzystał ten proceder, śledczym, który zrekonstruował platformę, oraz źródłem danych o liczbie ofiar — tą samą organizacją w każdej z tych trzech ról. Jego relacja jest szczegółowa i wewnętrznie spójna, a niezależne media potwierdziły każdy jej punkt, który sprawdziły, w tym cennik, mechanizm i aresztowania. Liczba ofiar nie została niezależnie zweryfikowana.

Rozbicie: sprawa cywilna, dwa aresztowania i to, czego nie dowodzą

Działania Microsoftu przebiegały dwutorowo. W Stanach Zjednoczonych jednostka Digital Crimes Unit uzyskała zgodę Sądu Okręgowego Stanów Zjednoczonych dla Wschodniego Okręgu Wirginii, przy czym Health-ISAC występował jako współpowód, a następnie współpracowała z Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation i TRM Labs, aby – jak to ujęła – „działać przeciwko kluczowym częściom platformy”. Microsoft twierdzi, że przejął 50 witryn internetowych wykorzystywanych do obsługi usługi i wyłączył ponad 150 dodatkowych domen powiązanych z jej infrastrukturą. Nazywa tę operację swoją 40. akcją zakłócającą zatwierdzoną przez sąd i pierwszą wymierzoną w coś, co określa jako „kompleksową usługę cyberprzestępczą wykorzystującą sztuczną inteligencję”.

Pozew będący podstawą tego powództwa wymienia dwóch pozwanych mieszkających w Zjednoczonym Królestwie — Felixa Utomiego i Waidi Seguna Adamsa — oraz pięć nienazwanych stron, DOES 1-5, i zarzuca naruszenie Computer Fraud and Abuse Act, Electronic Communications Privacy Act, Lanham Act oraz Racketeer Influenced and Corrupt Organizations Act. Kopia opublikowana przez jednostkę Digital Crimes Unit firmy Microsoft jest opatrzona pieczęcią „filed under seal”, nie zawiera numeru sprawy i opisuje dwóch pozwanych będących dostawcami infrastruktury, trzech członków personelu pomocniczego opisanych wyłącznie za pomocą ich identyfikatorów Telegram i stanowisk oraz dwóch użytkowników końcowych, których dostęp obejmował klienta Microsoftu z siedzibą w Wirginii i członka Health-ISAC z siedzibą w Wirginii. SecurityWeek donosi, że pozew wymienia również pięć nienazwanych osób. Podsumowanie sprawy w archiwum odnotowuje, że w pismach procesowych wskazano zarejestrowaną w Wielkiej Brytanii spółkę stojącą za platformą; opublikowane oznaczenie sprawy wymienia wyłącznie osoby, a ani posty Microsoftu, ani omawiane tu doniesienia nie wskazują pozwanej spółki.

Osobno zespół ds. cyberprzestępczości Metropolitan Police Service zatrzymał dwóch mężczyzn w wieku 32 i 38 lat 11 września 2026 r., konfiskując urządzenia cyfrowe i inne przedmioty. Obaj zostali zwolnieni za kaucją policyjną na określonych warunkach w trakcie trwającego śledztwa, podała Digital Crimes Unit. Met potwierdził te zatrzymania w rozmowie z {{1}}The Record{{/1}} i poinformował, że mężczyźni zostali zatrzymani w związku z podejrzeniem wytwarzania przedmiotów do wykorzystania w oszustwach i prania pieniędzy; Microsoft, który zgłosił sprawę policji w sierpniu, odmówił ujawnienia ich tożsamości tej redakcji. Inspektor detektyw Serena D'Adamo, której zespół prowadził śledztwo, powiedziała: „Usługi phishingowe przynoszą nieszczęście tysiącom osób, zabierając pieniądze zwykłym ludziom na całym świecie”.

To, czego nie zawiera dokumentacja, również warto odnotować. Nie ogłoszono żadnych zarzutów. Żaden sąd nie wydał orzeczenia przeciwko komukolwiek. Wymienienie w pozwie cywilnym to zarzut, a nie wyrok skazujący, a dwóch zatrzymanych mężczyzn wypuszczono za kaucją, zamiast postawić im zarzuty. Nic, co opublikowano, nie wskazuje, że przejęta infrastruktura została powiązana z konkretną stratą z tytułu oszustwa; ani wpisy Microsoftu, ani omówione tu materiały prasowe nie wiążą jej z żadną taką stratą, a samo ujęcie Microsoftu jest takie, że zakłócenie nie oznacza wyeliminowania: „Infrastruktura wspierająca EvilTokens została zakłócona, ale model, który zademonstrowała, nie zniknie wraz z nią” – napisał Masada.

Co według Microsoftu powinni robić obrońcy

Wskazówki Security Blog są wyjątkowo konkretne i stanowią tę część odcinka, która ma najszersze zastosowanie. Pierwsza rekomendacja to całkowite zablokowanie przepływu kodu urządzenia (device code flow) wszędzie tam, gdzie nie jest on potrzebny; a tam, gdzie urządzenia Teams go wymagają, zawężenie wyjątku do konkretnych kont zasobów urządzeń Teams i wyłączenie zasobu Device Registration Service z dostępu warunkowego. Poza tym zaleca się odporne na phishing uwierzytelnianie wieloskładnikowe, takie jak tokeny FIDO lub klucze dostępu Microsoft Authenticator, blokowanie starszych metod uwierzytelniania i unikanie uwierzytelniania MFA przez telefon; włączenie Safe Links, co — jak twierdzi — umożliwia również alerty o phishingu z wykorzystaniem kodu urządzenia o wysokiej pewności; podniesienie progu zaawansowanego phishingu do 2 lub 3; włączenie automatycznego czyszczenia zerogodzinnego (zero-hour auto purge); oraz alerty o podejrzanym tworzeniu reguł skrzynki odbiorczej.

Dla osób reagujących na incydenty Security Blog wskazuje pułapkę, która wyjaśnia, dlaczego te włamania się utrzymują. Standardowe unieważnianie sesji za pomocą revokeSignInSessions może unieważniać wyłącznie tokeny odświeżania, pozostawiając tokeny dostępu ważne przez maksymalnie godzinę — dlatego Microsoft zaleca tymczasowe wyłączenie przejętego konta w celu natychmiastowego ograniczenia skutków oraz postępowanie w przypadku podejrzenia kradzieży tokenów odświeżania zgodnie z jego playbookiem dotyczącym kradzieży tokenów. Digital Crimes Unit dodaje mechanizm kontrolny, którego nie oferuje żaden produkt: niezależne weryfikowanie próśb o zmianę informacji o płatnościach, przekierowanie środków lub zatwierdzenie nietypowych transakcji za pośrednictwem zaufanego drugiego kanału. Jednostka wskazuje organizacjom następującą lekcję: „gdy skrzynka odbiorcza zostanie przejęta, przestępcy mogą zrozumieć jej zawartość w ciągu minut, a nie dni”.

Żadna z tych wytycznych nie została niezależnie oceniona, a w dokumentacji nie podano, ile z dotkniętych organizacji miało włączony przepływ kodu urządzenia ani ile go od tego czasu zablokowało. Microsoft twierdzi, że powiadomił dotkniętych klientów i pomógł usunąć skutki przejęcia kont; nie jest publicznie wiadome, co w odpowiedzi zrobiły poszczególne organizacje.

Archiwum klasyfikuje ten wpis jako zrealizowany incydent — waga wysoka, pewność A, status niekwestionowany — z odnotowanymi rzeczywistymi szkodami i potwierdzonym udziałem AI, datowany wyłącznie na dzień ogłoszenia przez Microsoft. Ta ocena odzwierciedla, jak dobrze zdarzenie jest udokumentowane — dwa posty Microsoftu, pismo sądowe i niezależne relacje, które zgadzają się co do mechanizmu, cennika i aresztowań — i dlatego ta relacja może być konkretna w kwestii łańcucha ataku. Nie zamienia to liczby ofiar podanej przez Microsoft w zweryfikowaną w audycie liczbę ani nie czyni cywilnych zarzutów wobec dwóch mężczyzn podanych z nazwiska ustaleniami. Trwalszym punktem może być ten, który Microsoft podnosi wbrew własnemu interesowi: infrastruktura została wyłączona, ale szablon — skradziona sesja, asystent, który czyta skrzynkę odbiorczą, i plan oszustwa sporządzony w ciągu minut — nie.