Microsoft monterar ned EvilTokens, en AI-assisterad nätfisketjänst kopplad till 12 000 inkorgar

Den 22 september 2026 uppgav Microsoft att företaget hade avvecklat EvilTokens, en plattform för nätfiske som tjänst kopplad till mer än 12 000 komprometterade e-postinkorgar hos över 10 000 organisationer. Efter lanseringen i februari 2026 var offren koncentrerade till USA, Kanada, Storbritannien, Australien, Indien och Frankrike, och de lurades att skriva in en engångskod på Microsofts äkta inloggningssida, vilket gav angriparna åtkomst till deras e-post utan att lämna ut ett lösenord. I centrum av tjänsten fanns en AI-assistent som läste den stulna inkorgen, identifierade vem som godkänner betalningar och vem som är värd att utge sig för att vara, och utformade uppföljningsmeddelandet. Microsofts Digital Crimes Unit fick domstolsgodkännande i Virginia, beslagtog 50 webbplatser och inaktiverade mer än 150 domäner; brittisk polis grep två män den 11 september. Arkivets fullständiga dokumentation av nedtagningen, med dess betyg och citerade källor, finns i AI-incidentarkivet tillsammans med de andra posterna i den här serien.

Plattformen, och inloggningstricket som den industrialiserade

EvilTokens behövde inga lösenord. Det utnyttjade OAuth-flödet för enhetsauktorisering, mekanismen bakom inloggning på enheter utan tangentbord eller webbläsare – smart-tv, skrivare, konferensenheter och Microsoft Teams Rooms. Det flödet visar en kort kod på en enhet och ber användaren att skriva in den i en webbläsarsession på en annan. Microsofts säkerhetsblogg förklarar varför den separationen är svagheten: den som startar flödet är den part som i slutändan autentiseras.

I den kedja som Microsofts hotunderrättelseteam beskriver leder ett e-postmeddelande med pressande tema – en faktura, en avisering om fildelning – till en angripares sida. Ett skript som körs i bakgrunden på den sidan kommunicerar i realtid med Microsofts identitetsleverantör och genererar en aktuell enhetskod, som det visar med en kopieringsknapp bredvid en länk med texten "Continue with Microsoft". Den länken går till den äkta microsoft.com/devicelogin portalen. Medan offret autentiserar sig pollar skriptet en /stateslutpunkt på angriparens egen server var tredje till var femte sekund under kodens femton minuter långa livstid, och väntar på att se om inloggningen har gått igenom. Eftersom en webbläsare med en befintlig session kan slutföra steget på några sekunder kopieras koden ofta till urklipp och klistras in direkt. Offrets lösenord skrivs aldrig in i något som angriparen kontrollerar, och ingen återställning av lösenordet gör det som hände ogjort: "Den åtkomsten kan bestå även efter en återställning av lösenordet om de associerade sessionerna och tokenerna inte också återkallas", skrev Steven Masada, biträdande chefsjurist och chef för Microsofts Digital Crimes Unit, i enhetens inlägg.

Det plattformen tillförde var repeterbarhet. Microsoft säger att EvilTokens levererades med 44 olika nätfisketeman och en uppsättning mallar och landningssidor, och att aktören som de spårar som Storm-2992 annonserade, sålde, uppdaterade och supporterade verktygssatsen på Telegram. En kampanj i april 2026, rapporterar Security Blog, använde automatiseringsplattformar för att starta tusentals unika, kortlivade pollningsnoder med Node.js-backendlogik, en design som var direkt inriktad på att besegra signaturbaserad detektering. Microsoft tillskriver Huntress observationerna om de teman som cirkulerar, inklusive anbudsförslag för byggprojekt och meddelanden om lösenordets utgång. Efter kompromissen, noterar Security Blog, registrerade vissa operatörer en ny enhet inom tio minuter för att få en Primary Refresh Token för varaktig åtkomst; andra väntade timmar innan de skapade inkorgsregler och exfiltrerade e-post.

Vad AI:n gjorde inne i brevlådan

Microsofts egen beskrivning av AI:n är mer specifik än rubrikfrasen "använde AI i varje steg av attackkedjan" och värd att läsa noggrant. Kärnan i tjänsten, enligt Digital Crimes Unit, var "en AI-liknande chattbot som kunde analysera en victims inkorg och hjälpa brottslingar att identifiera betrodda relationer, betalningsauktoriseringar och känsliga ansvarsområden, samt andra omständigheter där bedrägeri hade störst chans att lyckas." Den kunde sammanfatta och översätta e-post, lyfta fram finansiella konversationer, kartlägga organisatoriska roller och rekommendera mål. Förinställda prompter lät en prenumerant söka efter diskussioner om banköverföringar, hitta organisationens "money movers", lokalisera leverantörsfakturor och rangordna de bästa personerna att utge sig för. Den kunde också utforma meddelanden som utger sig för att komma från betrodda kontakter.

Det är analys och utkastskrivning, inte autonomi. Systemet läste det en operatör redan hade stulit, rangordnade det och föreslog ett nästa drag; en betalande kund valde om det skulle skickas. Inget av materialet som granskas här beskriver att EvilTokens sammanställer och skickar ut lockbeten utan en mänsklig prenumerant, eller flyttar pengar själv. Stämningsansökan som Microsoft och Health-ISAC lämnade in kallar upplägget "en sofistikerad konspiration för affärs-e-postkompromettering som drivs av end-to-end-distribution av artificiella intelligensagenter" – det är kärandenas karaktärisering i en rättslig inlaga, och de funktioner som den sedan beskriver är inhämtning, rangordning och utkastskrivning i en kontrollpanel som en kund använder.

Den mest konkreta detaljen om AI-stacken kommer från det klagomålet, som Microsoft offentliggör genom sin Digital Crimes Unit. I det hävdas att de tilltalade integrerade Groqs AI-tjänster i tidiga versioner av EvilTokens kontrollpanel och, mer nyligen, OpenAIs tjänster i en uppdaterad sådan, och det återger en systemprompt som framställer assistenten som en erfaren aktör inom business email compromise och specialist på banköverföringsbedrägerier, tillgänglig som standard för alla slutanvändare. Microsofts utredare drog också slutsatsen att stora delar av plattformen var ”vibe-kodade”, där AI hjälpte skaparna att bygga den, och att den ”byggde på funktioner från flera AI-modeller”. På frågan vilka andra det rörde sig om avböjde en talesperson för Microsoft att uppge, rapporterar The Record. OpenAI anges separat som partner i störningsinsatsen.

Siffrorna, och vem som räknade dem

Siffran i rubriken är Microsofts. "Inom några månader efter lanseringen i februari 2026 hade EvilTokens kopplats till fler än 12 000 komprometterade e-postinkorgar hos över 10 000 organisationer världen över", skrev Digital Crimes Unit; Security Blog upprepar siffran, och både SecurityWeek och Help Net Security återger den. Stämningsansökan säger samma sak med sina egna ord – "över 12 000 komprometterade offer hos Microsoft". Ingen oberoende instans har publicerat en separat sammanräkning, och Health-ISAC:s roll var att ansluta sig som medkärande eftersom hälso- och sjukvårdsorganisationer fanns bland måltavlorna, inte att granska antalet.

Microsoft rapporterar de högsta koncentrationerna av offeraktivitet i USA, Kanada, Storbritannien, Australien, Indien och Frankrike och listar de drabbade sektorerna som grossistdistribution, byggverksamhet, finansiella tjänster, fastigheter, högre utbildning och hälso- och sjukvård. Formuleringen "högsta koncentrationerna" spelar roll: dessa sex länder är där aktiviteten klustrade, inte en fullständig lista över var offren fanns. Klagomålet hävdar att verksamheten fanns för att "underlätta finansiella brott till ett värde av miljoner dollar", men de offentliga uttalanden som granskats för den här artikeln anger ingen förlustsiffra, och inget offer har namngetts.

En strukturell omständighet påverkar hur stor vikt som kan fästas vid siffrorna. Microsoft är den identitetsleverantör vars inloggningssida bedrägeriet utnyttjade, den utredare som genomförde reverse engineering av plattformen och källan till antalet offer – samma organisation i alla tre rollerna. Dess redogörelse är detaljerad och internt konsekvent, och den bekräftas på varje punkt som oberoende medier kontrollerade, inklusive prissättningen, mekanismen och gripandena. Antalet offer har inte verifierats oberoende.

Tillslaget: ett civilrättsligt mål, två gripanden och vad de inte bevisar

Microsofts agerande löpte på två spår. I USA fick Digital Crimes Unit tillstånd från USA:s distriktsdomstol för östra distriktet i Virginia, med Health-ISAC som medkärande, och arbetade därefter tillsammans med Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation och TRM Labs för att, med dess egna ord, ”agera mot centrala delar av plattformen”. Microsoft uppger att man beslagtog 50 webbplatser som användes för att driva tjänsten och inaktiverade över 150 ytterligare domäner kopplade till dess infrastruktur. Man kallar operationen sin 40:e domstolsgodkända störning och sin första mot vad man benämner ”en heltäckande AI-driven cyberbrottstjänst”.

Klagomålet bakom den åtgärden namnger två svarande bosatta i Storbritannien – Felix Utomi och Waidi Segun Adams – samt fem namnlösa parter, DOES 1–5, och gör gällande överträdelser av Computer Fraud and Abuse Act, Electronic Communications Privacy Act, Lanham Act och Racketeer Influenced and Corrupt Organizations Act. Den kopia som Microsofts Digital Crimes Unit publicerat är stämplad "inlämnad under sekretess", saknar målnummer och beskriver två svarande som infrastrukturleverantörer, tre supportanställda som endast beskrivs med sina Telegram-handtag och befattningar, samt två slutanvändare vars åtkomst omfattade en Microsoft-kund i Virginia och en Health-ISAC-medlem i Virginia. SecurityWeek rapporterar att klagomålet även riktar sig mot fem namnlösa individer. Arkivets sammanfattning av målet uppger att ett brittiskregistrerat företag bakom plattformen namnges i inlagorna; den publicerade målbeteckningen namnger endast individer, och varken Microsofts inlägg eller den rapportering som granskats här identifierar någon företagssvarande.

I ett separat fall grep Metropolitan Police Services cyberbrottsgrupp två män, 32 och 38 år gamla, den 11 september 2026 och beslagtog digitala enheter och andra föremål. Båda släpptes mot polisiär borgen med villkor medan utredningen fortsätter, uppgav Digital Crimes Unit. Met bekräftade gripandena för The Record och sade att männen hölls misstänkta för att ha tillverkat artiklar för användning vid bedrägeri och penningtvätt; Microsoft, som i augusti rapporterade ärendet till polisen, avböjde att identifiera dem för den tidningen. Kriminalinspektör Serena D'Adamo, vars grupp ledde utredningen, sade: "Nätfisketjänster orsakar elände för tusentals människor och tar pengar från vanliga människor över hela världen."

Det som inte framgår av materialet är lika värt att nämna. Inga åtal har väckts. Ingen domstol har gjort någon fällande bedömning mot någon. Att namnges i en civil stämningsansökan är ett påstående, inte en fällande dom, och de två männen som greps släpptes mot borgen i stället för att åtalas. Inget som publicerats tyder på att den beslagtagna infrastrukturen har spårats till en specifik bedrägeriförlust; varken Microsofts inlägg eller den rapportering som granskats här kopplar den till en sådan, och Microsofts egen formulering är att störning inte är utrotning: "Infrastrukturen som ligger bakom EvilTokens har störts, men den modell den visade upp kommer inte att försvinna tillsammans med den", skrev Masada.

Vad Microsoft säger att försvarare bör göra

Säkerhetsbloggens vägledning är ovanligt konkret och är den del av avsnittet som har bredast tillämplighet. Dess första rekommendation är att blockera device code flow helt och hållet där det inte behövs; där Teams-enheter kräver det, att begränsa undantaget till specifika resurskonton för Teams-enheter och utesluta resursen Device Registration Service från villkorlig åtkomst. Utöver det rekommenderar den nätfiskeresistent multifaktorautentisering såsom FIDO-token eller lösenordsnycklar i Microsoft Authenticator, att blockera äldre autentisering och undvika telefonbaserad MFA; att aktivera Safe Links, vilket enligt den också aktiverar nätfiskevarningar med hög konfidens för device code; att höja Advanced Phishing Threshold till 2 eller 3; att slå på automatisk rensning vid nolltimmen; och att larma vid skapande av misstänkta inkorgsregler.

För incidentresponder lyfter Security Blog en fälla som förklarar varför dessa intrång fortsätter. Standardmässig återkallning av sessioner med revokeSignInSessions kan endast ogiltigförklara refresh-token, vilket lämnar access-token giltiga i upp till en timme – så Microsoft rekommenderar att tillfälligt inaktivera ett komprometterat konto för omedelbar inneslutning och att hantera misstänkt stöld av refresh-token med sin spelbok för tokenstöld. Digital Crimes Unit tillför en kontroll som ingen produkt erbjuder: självständigt verifiera begäranden om att ändra betalningsinformation, omdirigera medel eller godkänna ovanliga transaktioner via en betrodd sekundär kanal. Den lärdom som enheten framhåller för organisationer är att "när en inkorg väl har komprometterats kan kriminella förstå dess innehåll på minuter, inte dagar."

Ingen av den vägledningen har utvärderats oberoende, och underlaget innehåller ingen mätning av hur många av de drabbade organisationerna som hade device code flow aktiverat, eller hur många som sedan dess har blockerat det. Microsoft har meddelat drabbade kunder och hjälpt till att åtgärda komprometterade konton, säger företaget; vad enskilda organisationer gjorde som svar är inte offentligt.

Arkivet klassificerar posten som en inträffad incident, allvarlighetsgrad hög, tillförlitlighet A, inte omtvistad, med dokumenterad faktisk skada och bekräftad AI-inblandning, daterad till den enda dagen för Microsofts tillkännagivande. Den bedömningen återspeglar hur väl händelsen är dokumenterad — två Microsoft-inlägg, en domstolshandling och oberoende rapportering som stämmer överens om mekanismen, prissättningen och arresteringarna — och det är anledningen till att den här redogörelsen kan vara specifik om attackkedjan. Det förvandlar inte Microsofts offerantal till en granskad siffra, och det gör inte de civilrättsliga anklagelserna mot två namngivna män till konstateranden. Den mer bestående poängen kan vara den som Microsoft framför mot sitt eget intresse: infrastrukturen är nere, och mallen — en stulen session, en assistent som läser inkorgen och en bedrägerplan som utarbetats på några minuter — är det inte.