Microsoft รื้อถอน EvilTokens บริการฟิชชิ่งที่ใช้ AI ช่วย ซึ่งเชื่อมโยงกับกล่องจดหมาย 12,000 แห่ง

เมื่อวันที่ 22 กันยายน 2026 Microsoft กล่าวว่าได้รื้อถอน EvilTokens ซึ่งเป็นแพลตฟอร์มฟิชชิงในรูปแบบบริการที่เชื่อมโยงกับกล่องจดหมายอีเมลที่ถูกบุกรุกมากกว่า 12,000 กล่องในองค์กรกว่า 10,000 แห่ง หลังเปิดตัวในเดือนกุมภาพันธ์ 2026 เหยื่อส่วนใหญ่อยู่ในสหรัฐอเมริกา แคนาดา สหราชอาณาจักร ออสเตรเลีย อินเดีย และฝรั่งเศส โดยถูกหลอกให้พิมพ์รหัสใช้ครั้งเดียวลงในหน้าล็อกอินจริงของ Microsoft ทำให้ผู้โจมตีเข้าถึงอีเมลของพวกเขาได้โดยไม่ต้องเปิดเผยรหัสผ่าน ศูนย์กลางของบริการนี้คือผู้ช่วย AI ที่อ่านกล่องจดหมายที่ถูกขโมย ระบุว่าใครอนุมัติการชำระเงินและใครที่คุ้มค่าจะปลอมตัวเป็น และร่างข้อความติดตามผล หน่วยอาชญากรรมดิจิทัลของ Microsoft ได้รับอนุญาตจากศาลในรัฐเวอร์จิเนีย ยึดเว็บไซต์ 50 แห่ง และปิดใช้งานโดเมนมากกว่า 150 โดเมน ตำรวจอังกฤษจับกุมชายสองคนเมื่อวันที่ 11 กันยายน บันทึกฉบับเต็มของเหตุการณ์การรื้อถอนนี้ พร้อมการให้คะแนนและแหล่งอ้างอิง อยู่ที่ คลังเหตุการณ์ AIพร้อมกับรายการอื่น ๆ ในชุดนี้

แพลตฟอร์ม และกลเม็ดการลงชื่อเข้าที่มันทำให้กลายเป็นอุตสาหกรรม

EvilTokens ไม่จำเป็นต้องใช้รหัสผ่าน โดยมันใช้ช่องโหว่ในกระบวนการอนุญาตอุปกรณ์ผ่าน OAuth ซึ่งเป็นกลไกเบื้องหลังการลงชื่อเข้าใช้บนอุปกรณ์ที่ไม่มีแป้นพิมพ์หรือเบราว์เซอร์ เช่น สมาร์ททีวี เครื่องพิมพ์ อุปกรณ์สำหรับการประชุม และห้อง Microsoft Teams กระบวนการดังกล่าวจะแสดงรหัสสั้น ๆ บนอุปกรณ์หนึ่ง และขอให้ผู้ใช้พิมพ์รหัสนั้นลงในเซสชันเบราว์เซอร์บนอีกอุปกรณ์หนึ่ง บล็อกด้านความปลอดภัยของ Microsoft อธิบายว่าเหตุใดการแยกออกจากกันเช่นนี้จึงเป็นจุดอ่อน นั่นคือ ผู้ที่เริ่มกระบวนการจะเป็นฝ่ายที่ได้รับการยืนยันตัวตนในที่สุด

ในห่วงโซ่ที่ทีมข่าวกรองภัยคุกคามของ Microsoft อธิบาย อีเมลที่ใช้ธีมกดดัน เช่น ใบแจ้งหนี้หรือประกาศแชร์ไฟล์ จะนำไปยังหน้าของผู้โจมตี สคริปต์เบื้องหลังบนหน้านั้นสื่อสารกับผู้ให้บริการข้อมูลระบุตัวตนของ Microsoft แบบเรียลไทม์และสร้างรหัสอุปกรณ์แบบสด ซึ่งจะแสดงพร้อมปุ่มคัดลอกข้างลิงก์ "Continue with Microsoft" ลิงก์นั้นไปยังพอร์ทัลของจริง microsoft.com/devicelogin ขณะที่เหยื่อยืนยันตัวตน สคริปต์จะส่งคำขอไปยังปลายทาง /stateบนเซิร์ฟเวอร์ของผู้โจมตีเองทุกสามถึงห้าวินาทีตลอดอายุ 15 นาทีของรหัส เพื่อรอดูว่าการเข้าสู่ระบบเกิดขึ้นหรือไม่ เพราะเบราว์เซอร์ที่มีเซสชันอยู่แล้วสามารถทำขั้นตอนนี้ให้เสร็จได้ในไม่กี่วินาที รหัสมักถูกคัดลอกไปยังคลิปบอร์ดและวางต่อทันที รหัสผ่านของเหยื่อไม่เคยถูกพิมพ์ลงในสิ่งใดที่ผู้โจมตีควบคุม และการรีเซ็ตรหัสผ่านไม่สามารถย้อนสิ่งที่เกิดขึ้นได้: "การเข้าถึงนั้นอาจคงอยู่แม้หลังการรีเซ็ตรหัสผ่าน หากเซสชันและโทเค็นที่เกี่ยวข้องไม่ได้รับการเพิกถอนด้วย" Steven Masada รองที่ปรึกษากฎหมายทั่วไปและผู้จัดการทั่วไปของหน่วยอาชญากรรมดิจิทัลของ Microsoft เขียนไว้ในโพสต์ของหน่วยงาน

สิ่งที่แพลตฟอร์มเพิ่มเข้ามาคือความสามารถในการทำซ้ำ Microsoft ระบุว่า EvilTokens มีธีมฟิชชิงที่แตกต่างกัน 44 ธีม พร้อมชุดเทมเพลตและแลนดิงเพจ และผู้ไม่ประสงค์ดีที่ Microsoft ติดตามในชื่อ Storm-2992 ได้โฆษณา ขาย อัปเดต และสนับสนุนชุดเครื่องมือนี้บน Telegram Security Blog รายงานว่าแคมเปญเมื่อเดือนเมษายน 2026 ใช้แพลตฟอร์มอัตโนมัติเพื่อสร้างโหนด polling ที่ไม่ซ้ำกันและมีอายุสั้นหลายพันโหนดพร้อมตรรกะแบ็กเอนด์ Node.js ซึ่งเป็นการออกแบบที่มุ่งเป้าโดยตรงเพื่อเอาชนะการตรวจจับตามลายเซ็น Microsoft ให้เครดิต Huntress สำหรับข้อสังเกตเกี่ยวกับธีมที่แพร่หลาย รวมถึงข้อเสนอประมูลงานก่อสร้างและประกาศหมดอายุรหัสผ่าน Security Blog ระบุว่า หลังการบุกรุก ผู้ปฏิบัติการบางรายลงทะเบียนอุปกรณ์ใหม่ภายในสิบนาทีเพื่อให้ได้ Primary Refresh Token สำหรับการเข้าถึงอย่างต่อเนื่อง ขณะที่รายอื่นรอหลายชั่วโมงก่อนสร้างกฎกล่องจดหมายและส่งข้อมูลอีเมลออกไป

สิ่งที่ AI ทำภายในกล่องจดหมาย

คำอธิบายของ Microsoft เองเกี่ยวกับ AI นี้มีความเฉพาะเจาะจงกว่าวลีพาดหัวที่ว่า "ใช้ AI ในทุกขั้นตอนของห่วงโซ่การโจมตี" และควรค่าที่จะอ่านอย่างละเอียด Digital Crimes Unit กล่าวว่า ใจกลางของบริการนี้คือ "แชตบอตแบบ AI ที่สามารถวิเคราะห์กล่องจดหมายของเหยื่อและช่วยให้อาชญากรระบุความสัมพันธ์ที่ไว้วางใจ การอนุมัติการชำระเงิน และความรับผิดชอบที่ละเอียดอ่อน ตลอดจนสถานการณ์อื่น ๆ ที่การฉ้อโกงมีแนวโน้มจะประสบความสำเร็จมากที่สุด" มันสามารถสรุปและแปลอีเมล เผยให้เห็นบทสนทนาเกี่ยวกับการเงิน จัดทำแผนผังบทบาทในองค์กร และแนะนำเป้าหมาย พรอมต์ที่ตั้งไว้ล่วงหน้าช่วยให้ผู้สมัครสมาชิกค้นหาการสนทนาเกี่ยวกับการโอนเงินผ่านธนาคาร ค้นหา "ผู้เคลื่อนย้ายเงิน" ขององค์กร ค้นหาใบแจ้งหนี้จากผู้ขาย และจัดอันดับบุคคลที่ดีที่สุดที่จะสวมรอยเป็น นอกจากนี้ยังสามารถร่างข้อความโดยแอบอ้างเป็นผู้ติดต่อที่ไว้วางใจได้

นั่นคือการวิเคราะห์และการร่าง ไม่ใช่ความเป็นอิสระในการทำงาน ระบบอ่านสิ่งที่ผู้ปฏิบัติการได้ขโมยมาแล้ว จัดอันดับสิ่งนั้น และเสนอการเคลื่อนไหวถัดไป ลูกค้าที่จ่ายเงินเป็นผู้เลือกว่าจะส่งหรือไม่ ไม่มีเนื้อหาที่ตรวจสอบในที่นี้บรรยายว่า EvilTokens ประกอบและส่งสิ่งล่อโดยไม่มีผู้สมัครสมาชิกที่เป็นมนุษย์ หรือเคลื่อนย้ายเงินด้วยตัวเอง คำฟ้องที่ Microsoft และ Health-ISAC ยื่นเรียกแผนการนี้ว่า "แผนสมคบคิดอาชญากรรมการโจมตีทางอีเมลธุรกิจที่ซับซ้อนซึ่งขับเคลื่อนด้วยการติดตั้งตัวแทนปัญญาประดิษฐ์แบบครบวงจรตั้งแต่ต้นจนจบ" — นั่นคือการนิยามลักษณะโดยโจทก์ในเอกสารคำคู่ความทางกฎหมาย และหน้าที่ที่อธิบายต่อไปคือการค้นคืน การจัดอันดับ และการร่างภายในแผงควบคุมที่ลูกค้าเป็นผู้ดำเนินการ

รายละเอียดที่เป็นรูปธรรมที่สุดของสแต็ก AI มาจากคำฟ้องนั้น ซึ่ง Microsoft เผยแพร่ผ่าน Digital Crimes Unit ของตน คำฟ้องกล่าวหาว่าจำเลยนำบริการ AI ของ Groq ไปผสานเข้ากับ EvilTokens control panel เวอร์ชันแรก ๆ และเมื่อเร็ว ๆ นี้ นำบริการของ OpenAI ไปผสานเข้ากับเวอร์ชันที่อัปเดตแล้ว และยังถอดความ system prompt ที่กำหนดให้ผู้ช่วยเป็นผู้ดำเนินการ business email compromise ที่มากประสบการณ์และผู้เชี่ยวชาญด้านการฉ้อโกงผ่านการโอนเงิน ซึ่งพร้อมใช้งานโดยค่าเริ่มต้นแก่ผู้ใช้ปลายทางทุกคน นักสืบของ Microsoft ยังสรุปว่าส่วนใหญ่ของแพลตฟอร์มถูก “vibe coded” โดยมี AI ช่วยผู้สร้างในการสร้างมัน และแพลตฟอร์ม{{1}}ดึงความสามารถจากโมเดล AI หลายตัว{{/1}} เมื่อถูกถามว่าโมเดลอื่น ๆ มีอะไรบ้าง โฆษกของ Microsoft ปฏิเสธที่จะระบุ The Record รายงาน OpenAI ได้รับเครดิตแยกต่างหากในฐานะพันธมิตรในการหยุดยั้งครั้งนี้

ตัวเลข และใครเป็นคนนับมัน

ขนาดที่พาดหัวข่าวกล่าวถึงเป็นตัวเลขของ Microsoft “ภายในไม่กี่เดือนหลังจากเปิดตัวในเดือนกุมภาพันธ์ 2026 EvilTokens ถูกเชื่อมโยงกับกล่องอีเมลที่ถูกบุกรุกมากกว่า 12,000 กล่องในองค์กรกว่า 10,000 แห่งทั่วโลก” Digital Crimes Unit เขียนไว้; Security Blog ย้ำตัวเลขนี้ และทั้ง SecurityWeek และ Help Net Security ต่างก็นำไปเผยแพร่ คำฟ้องกล่าวในทำนองเดียวกันด้วยถ้อยคำของตนเองว่า — “เหยื่อที่ถูกบุกรุกของ Microsoft มากกว่า 12,000 ราย” ยังไม่มีหน่วยงานอิสระใดเผยแพร่การนับแยกต่างหาก และบทบาทของ Health-ISAC คือการเข้าร่วมในฐานะโจทก์ร่วม เนื่องจากองค์กรด้านสุขภาพอยู่ในกลุ่มเป้าหมาย มิใช่เพื่อตรวจสอบจำนวนดังกล่าว

Microsoft รายงานว่าพบความเข้มข้นสูงสุดของกิจกรรมของผู้เสียหายในสหรัฐอเมริกา แคนาดา สหราชอาณาจักร ออสเตรเลีย อินเดีย และฝรั่งเศส และระบุภาคส่วนที่ได้รับผลกระทบว่าได้แก่ การจัดจำหน่ายแบบขายส่ง การก่อสร้าง บริการทางการเงิน อสังหาริมทรัพย์ การศึกษาระดับอุดมศึกษา และการดูแลสุขภาพ ถ้อยคำที่ว่า "ความเข้มข้นสูงสุด" มีความสำคัญ: หกประเทศนั้นเป็นที่ซึ่งกิจกรรมกระจุกตัวอยู่ ไม่ใช่รายการที่ครบถ้วนของสถานที่ที่มีผู้เสียหาย คำฟ้องกล่าวอ้างว่าองค์กรนี้มีอยู่เพื่อ "อำนวยความสะดวกแก่อาชญากรรมทางการเงินมูลค่าหลายล้านดอลลาร์" แต่แถลงการณ์สาธารณะที่ตรวจสอบสำหรับบทความนี้ไม่ได้ให้ตัวเลขความสูญเสีย และไม่มีการระบุชื่อผู้เสียหาย

ประเด็นเชิงโครงสร้างประการหนึ่งมีผลต่อน้ำหนักเชิงหลักฐานที่จำนวนผู้เสียหายเหล่านี้สามารถมีได้ Microsoft คือผู้ให้บริการข้อมูลระบุตัวตนซึ่งหน้าเข้าสู่ระบบถูกแผนการฉ้อโกงใช้ในทางที่ผิด เป็นผู้สอบสวนที่ทำวิศวกรรมย้อนกลับแพลตฟอร์ม และเป็นแหล่งที่มาของจำนวนผู้เสียหาย — องค์กรเดียวกันในทั้งสามบทบาท คำชี้แจงของบริษัทมีรายละเอียดและสอดคล้องกันภายใน และได้รับการยืนยันสนับสนุนในทุกประเด็นที่สื่ออิสระตรวจสอบ รวมถึงราคา กลไก และการจับกุม จำนวนผู้เสียหายยังไม่ได้รับการตรวจสอบยืนยันอย่างอิสระ

ปฏิบัติการปราบปราม: คดีแพ่ง การจับกุมสองครั้ง และสิ่งที่สิ่งเหล่านี้ไม่ได้พิสูจน์

การดำเนินการของ Microsoft เดินหน้าในสองแนวทาง ในสหรัฐอเมริกา หน่วยอาชญากรรมดิจิทัล (Digital Crimes Unit) ได้รับอนุญาตจากศาลแขวงสหรัฐสำหรับเขตตะวันออกของเวอร์จิเนีย โดยมี Health-ISAC เป็นโจทก์ร่วม จากนั้นจึงร่วมมือกับ Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation และ TRM Labs “เพื่อดำเนินการต่อส่วนสำคัญของแพลตฟอร์ม” ตามถ้อยคำของบริษัท Microsoft ระบุว่าบริษัทได้ยึดเว็บไซต์ 50 แห่งที่ใช้ดำเนินบริการดังกล่าว และปิดใช้งานโดเมนเพิ่มเติมอีกกว่า 150 โดเมนที่เชื่อมโยงกับโครงสร้างพื้นฐานของบริการนี้ บริษัทเรียกปฏิบัติการนี้ว่าเป็นการหยุดชะงักที่ได้รับอนุญาตจากศาลครั้งที่ 40 และเป็นการดำเนินการครั้งแรกต่อสิ่งที่บริษัทเรียกว่า “บริการอาชญากรรมไซเบอร์แบบครบวงจรที่ขับเคลื่อนด้วย AI”

คำฟ้องที่อยู่เบื้องหลังการดำเนินคดีดังกล่าวระบุชื่อจำเลยสองรายที่พำนักอยู่ในสหราชอาณาจักร — Felix Utomi และ Waidi Segun Adams — พร้อมกับคู่ความอีกห้ารายที่ไม่มีชื่อ ซึ่งระบุเป็น DOES 1-5 และกล่าวหาว่ามีการละเมิด Computer Fraud and Abuse Act, Electronic Communications Privacy Act, Lanham Act และ Racketeer Influenced and Corrupt Organizations Act สำเนาที่เผยแพร่โดย Digital Crimes Unit ของ Microsoft มีตราประทับว่า “filed under seal” ไม่มีหมายเลขคดี และบรรยายถึงจำเลยที่เป็นผู้ให้บริการโครงสร้างพื้นฐานสองราย เจ้าหน้าที่สนับสนุนสามรายซึ่งระบุตัวเพียงผ่านแฮนเดิล Telegram และชื่อตำแหน่งงาน และผู้ใช้ปลายทางสองรายซึ่งการเข้าถึงของพวกเขาครอบคลุมลูกค้าของ Microsoft ที่ตั้งอยู่ในเวอร์จิเนียและสมาชิก Health-ISAC ที่ตั้งอยู่ในเวอร์จิเนีย SecurityWeek รายงานว่าคำฟ้องยังมุ่งเป้าไปที่บุคคลห้ารายที่ไม่มีชื่อ สรุปคดีในคลังข้อมูลบันทึกว่าบริษัทที่จดทะเบียนในสหราชอาณาจักรซึ่งอยู่เบื้องหลังแพลตฟอร์มถูกระบุชื่อในเอกสารคำฟ้อง ส่วนคำบรรยายคดีที่เผยแพร่ระบุชื่อเฉพาะบุคคลเท่านั้น และทั้งโพสต์ของ Microsoft และรายงานข่าวที่ตรวจสอบในที่นี้ไม่ได้ระบุถึงจำเลยที่เป็นนิติบุคคล

ในอีกกรณีหนึ่ง ทีมอาชญากรรมไซเบอร์ของ Metropolitan Police Service ได้จับกุมชายสองคนอายุ 32 และ 38 ปี เมื่อวันที่ 11 กันยายน 2026 พร้อมยึดอุปกรณ์ดิจิทัลและสิ่งของอื่น ๆ ทั้งสองได้รับการปล่อยตัวชั่วคราวด้วยการประกันตัวจากตำรวจโดยมีเงื่อนไขระหว่างที่การสอบสวนยังดำเนินอยู่ Digital Crimes Unit กล่าว Met ยืนยันการจับกุมต่อ The Record และกล่าวว่าชายทั้งสองถูกควบคุมตัวในข้อสงสัยว่าผลิตสิ่งของเพื่อใช้ในการฉ้อโกงและการฟอกเงิน ส่วน Microsoft ซึ่งรายงานเรื่องนี้ให้แก่ตำรวจในเดือนสิงหาคม ปฏิเสธที่จะระบุตัวตนของพวกเขาต่อสื่อดังกล่าว สารวัตรนักสืบ Serena D'Adamo ซึ่งทีมของเธอเป็นผู้นำการสอบสวน กล่าวว่า "บริการฟิชชิงสร้างความทุกข์ยากให้คนนับพัน โดยฉกฉวยเงินจากคนธรรมดาทั่วโลก"

สิ่งที่บันทึกไม่ได้ระบุไว้ก็สมควรกล่าวถึงเช่นกัน ไม่มีการประกาศข้อหาใด ๆ ไม่มีศาลใดออกคำวินิจฉัยฟันธงว่าผู้ใดกระทำผิด การถูกระบุชื่อในคำฟ้องทางแพ่งเป็นเพียงข้อกล่าวหา ไม่ใช่คำพิพากษาลงโทษ และชายสองคนที่ถูกจับกุมได้รับการประกันตัวแทนที่จะถูกตั้งข้อหา ไม่มีสิ่งใดที่เผยแพร่ออกมาบ่งชี้ว่าโครงสร้างพื้นฐานที่ถูกยึดนั้นถูกเชื่อมโยงกับความเสียหายจากการฉ้อโกงกรณีใดกรณีหนึ่งโดยเฉพาะ ทั้งโพสต์ของ Microsoft และรายงานข่าวที่ตรวจสอบในที่นี้ไม่ได้เชื่อมโยงสิ่งนั้นเข้ากับกรณีใดกรณีหนึ่ง และกรอบคำอธิบายของ Microsoft เองก็คือการทำให้หยุดชะงักไม่ใช่การกำจัดให้สิ้นซาก: “โครงสร้างพื้นฐานที่รองรับ EvilTokens ถูกทำให้หยุดชะงักแล้ว แต่โมเดลที่มันแสดงให้เห็นจะไม่หายไปพร้อมกับมัน” Masada เขียนไว้

สิ่งที่ Microsoft กล่าวว่าผู้ป้องกันควรทำ

คำแนะนำของ Security Blog นั้นเจาะจงเป็นพิเศษ และเป็นส่วนของตอนที่มีการนำไปใช้ได้กว้างที่สุด คำแนะนำแรกคือให้บล็อก device code flow โดยสิ้นเชิงในทุกที่ที่ไม่จำเป็น ในกรณีที่อุปกรณ์ Teams จำเป็นต้องใช้ ให้จำกัดข้อยกเว้นให้แคบลงเฉพาะบัญชีทรัพยากรอุปกรณ์ Teams ที่ระบุ และยกเว้นทรัพยากร Device Registration Service จากการเข้าถึงตามเงื่อนไข (Conditional Access) นอกเหนือจากนั้น แนะนำให้ใช้การรับรองความถูกต้องหลายปัจจัยที่ต้านทานฟิชชิง เช่น FIDO tokens หรือ passkeys ของ Microsoft Authenticator บล็อกการรับรองความถูกต้องแบบเดิม และหลีกเลี่ยง MFA ทางโทรศัพท์ เปิดใช้ Safe Links ซึ่งระบุว่าช่วยเปิดการแจ้งเตือนฟิชชิงด้วย device code ที่มีความเชื่อมั่นสูงด้วย เพิ่ม Advanced Phishing Threshold เป็น 2 หรือ 3 เปิดใช้ zero-hour auto purge และแจ้งเตือนเมื่อมีการสร้างกฎกล่องจดหมายที่น่าสงสัย

สำหรับผู้ตอบสนองเหตุการณ์ Security Blog ชี้ให้เห็นกับดักที่อธิบายว่าทำไมการบุกรุกเหล่านี้จึงยังคงเกิดขึ้น การเพิกถอนเซสชันมาตรฐานด้วย revokeSignInSessionsอาจทำให้เฉพาะรีเฟรชโทเค็นเป็นโมฆะ โดยปล่อยให้แอ็กเซสโทเค็นยังใช้ได้นานถึงหนึ่งชั่วโมง — ดังนั้น Microsoft แนะนำให้ปิดใช้งานบัญชีที่ถูกบุกรุกชั่วคราวเพื่อจำกัดความเสียหายโดยทันที และจัดการกับการโจรกรรมรีเฟรชโทเค็นที่ต้องสงสัยด้วยเพลย์บุ๊กการโจรกรรมโทเค็นของตน Digital Crimes Unit เพิ่มการควบคุมที่ไม่มีผลิตภัณฑ์ใดมอบให้: ตรวจสอบคำขอเปลี่ยนแปลงข้อมูลการชำระเงิน การเปลี่ยนเส้นทางเงินทุน หรือการอนุมัติธุรกรรมการผิดปกติอย่างอิสระผ่านช่องทางที่เชื่อถือได้ช่องทางที่สอง บทเรียนที่หน่วยงานนี้ระบุไว้สำหรับองค์กรคือ “เมื่อกล่องจดหมายถูกบุกรุก ผู้ก่ออาชญากรรมอาจเข้าใจเนื้อหาภายในได้ภายในไม่กี่นาที ไม่ใช่หลายวัน”

คำแนะนำทั้งหมดนั้นยังไม่ได้รับการประเมินอย่างเป็นอิสระ และบันทึกดังกล่าวไม่มีการวัดว่าองค์กรที่ได้รับผลกระทบมีจำนวนเท่าใดที่เปิดใช้งาน device code flow หรือมีจำนวนเท่าใดที่บล็อกมันไปแล้วนับตั้งแต่นั้น Microsoft ระบุว่าได้แจ้งลูกค้าที่ได้รับผลกระทบและช่วยแก้ไขบัญชีที่ถูกบุกรุกแล้ว สิ่งที่แต่ละองค์กรทำเพื่อตอบสนองไม่เปิดเผยต่อสาธารณะ

คลังเก็บข้อมูลจัดรายการนี้เป็นเหตุการณ์ที่เกิดขึ้นจริง มีความรุนแรงสูง ระดับความเชื่อมั่น A ไม่มีข้อโต้แย้ง มีการบันทึกความเสียหายจริง และยืนยันการมีส่วนเกี่ยวข้องของ AI โดยลงวันที่ตรงกับวันเดียวกับที่ไมโครซอฟต์ประกาศ การให้เกรดนี้สะท้อนว่ามีเอกสารหลักฐานเกี่ยวกับเหตุการณ์ดีเพียงใด ได้แก่โพสต์ของไมโครซอฟต์สองโพสต์ เอกสารที่ยื่นต่อศาล และรายงานข่าวอิสระที่เห็นตรงกันในเรื่องกลไก ราคา และการจับกุม และเป็นเหตุผลที่บันทึกนี้สามารถระบุรายละเอียดของห่วงโซ่การโจมตีได้อย่างเจาะจง ทั้งนี้ไม่ได้แปลงจำนวนเหยื่อของไมโครซอฟต์ให้เป็นตัวเลขที่ผ่านการตรวจสอบ และไม่ได้ทำให้ข้อกล่าวหาในคดีแพ่งต่อชายสองคนที่ระบุชื่อกลายเป็นข้อวินิจฉัย ประเด็นที่คงทนกว่าอาจเป็นสิ่งที่ไมโครซอฟต์กล่าวทั้งที่ขัดกับผลประโยชน์ของตัวเอง: โครงสร้างพื้นฐานถูกปิดแล้ว แต่แม่แบบ ซึ่งประกอบด้วยเซสชันที่ถูกขโมย ผู้ช่วยที่อ่านกล่องจดหมาย และแผนฉ้อโกงที่ร่างขึ้นภายในไม่กี่นาที ยังไม่ถูกปิดไปด้วย