Microsoft 捣毁 EvilTokens：一个与 12,000 个收件箱有关联的 AI 辅助网络钓鱼服务

2026年9月22日，Microsoft表示已捣毁EvilTokens，这是一个网络钓鱼即服务平台，与超过10,000家机构的逾12,000个遭入侵电子邮箱相关联。该平台于2026年2月上线后，受害者集中在美国、加拿大、英国、澳大利亚、印度和法国，他们被骗在Microsoft的正版登录页面上输入一次性验证码，使攻击者无需获取密码即可访问其邮件。该服务的核心是一个AI助手，它会读取被盗邮箱，识别谁负责审批付款、谁值得冒充，并起草后续消息。Microsoft的数字犯罪部门在弗吉尼亚州获得法院授权，查获了50个网站并停用了150多个域名；英国警方于9月11日逮捕了两名男子。该档案对此次捣毁行动的完整记录，包括其评分和引用的来源，收录在AI事件档案中，与本系列的其他条目并列。

这个平台，以及它将其产业化的登录花招

EvilTokens 不需要密码。它滥用了 OAuth 设备授权流程，也就是无键盘或浏览器设备（智能电视、打印机、会议设备和 Microsoft Teams 会议室）登录背后的机制。该流程会在一台设备上显示一个短代码，并要求用户在另一台设备的浏览器会话中输入该代码。Microsoft 安全博客解释了为什么这种分离正是弱点所在：启动该流程的一方最终就是通过身份验证的一方。

在 Microsoft 威胁情报团队描述的这条攻击链中，一封带有施压主题的电子邮件——例如发票、文件共享通知——会将受害者引向攻击者页面。该页面上的后台脚本会实时与 Microsoft 的身份提供程序通信，并生成一个实时设备代码，在“使用 Microsoft 继续”链接旁显示该代码并配有复制按钮。该链接指向真正的 microsoft.com/devicelogin 门户。当受害者进行身份验证时，脚本会在代码有效的十五分钟内，每三到五秒轮询攻击者自己服务器上的一个 /state 端点，以等待查看登录是否已经完成。由于已有会话的浏览器可以在几秒内完成这一步，该代码经常被复制到剪贴板并直接粘贴完成。受害者的密码从未被输入到攻击者控制的任何内容中，而且没有任何密码重置能撤销已经发生的事情：“如果相关会话和令牌没有被一并撤销，那么即使重置了密码，这种访问仍可能持续存在，”Microsoft 数字犯罪部门副总法律顾问兼总经理 Steven Masada 在该部门的文章中写道。

该平台带来的是可重复性。Microsoft 表示，EvilTokens 推出了 44 种不同的钓鱼主题以及一套模板和落地页，并且其追踪为 Storm-2992 的行为体在 Telegram 上宣传、销售、更新并为该工具包提供支持。据 Security Blog 报道，2026 年 4 月的一场攻击活动利用自动化平台快速生成数千个独一无二、短生命周期的轮询节点，并配有 Node.js 后端逻辑，这一设计明确旨在击破基于签名的检测。Microsoft 将有关流传中主题的观察归功于 Huntress，这些主题包括施工投标提案和密码到期通知。Security Blog 指出，在攻陷后，一些操作者在十分钟内注册新设备以获取 Primary Refresh Token，从而实现持久访问；另一些操作者则等待数小时才创建收件箱规则并外泄邮件。

AI 在邮箱里做了什么

Microsoft 自己对该 AI 的描述比“在攻击链的每一步都使用了 AI”这一标题式说法更为具体，值得仔细阅读。微软数字犯罪部门（Digital Crimes Unit）表示，该服务的核心是“一个 AI 风格的聊天机器人，它能够分析受害者的收件箱，帮助犯罪分子识别可信关系、付款授权和敏感职责，以及其他欺诈最有可能得逞的情形”。它可以总结和翻译电子邮件、找出财务相关对话、梳理组织角色并推荐目标。预设提示词让订阅者能够搜索电汇转账相关讨论、找到组织中的“资金操盘手”、定位供应商发票，并排出最适合冒充的人选。它还可以起草冒充可信联系人的消息。

那是分析和起草，不是自主行动。系统读取了操作员已经窃取的内容，对其进行排序，并提出下一步行动建议；是否发送由付费客户选择。这里审视的材料没有任何一项描述 EvilTokens 在没有人类订阅者的情况下编造并发送诱饵，或自行转移资金。微软和 Health-ISAC 提交的诉状称该计划是“一场由人工智能代理端到端部署所驱动的高级商业电子邮件入侵共谋”——这是原告在法律诉状中的定性，而诉状随后描述的功能是在客户操作的 controls 面板内进行检索、排序和起草。

AI 技术栈最具体的细节来自那份诉状，微软通过其数字犯罪部门公布了该诉状。诉状称，被告将 Groq 的 AI 服务集成到 EvilTokens 控制面板的早期版本中，并在最近将 OpenAI 的服务集成到更新版本中；诉状还复现了一段系统提示词，将助手设定为经验丰富的商业电子邮件入侵操作者和电汇欺诈专家，并默认向每个最终用户提供。微软调查人员还得出结论，该平台的大部分内容是“凭感觉编程”出来的，AI 帮助其创建者构建了它，并且它“借鉴了多个 AI 模型的能力”。据 The Record 报道，当被问及还有哪些模型时，微软发言人拒绝透露。OpenAI 另被列为此次打击行动的合作方。

数字，以及是谁统计的

标题中的规模数字来自微软。微软数字犯罪部门写道：“在2026年2月推出后的数月内，EvilTokens已与全球超过10,000个组织中的12,000多个遭入侵电子邮件收件箱相关联。”Security Blog重复了这一数字，SecurityWeek和Help Net Security也都进行了报道。起诉书用自己的措辞表达了同一意思——“超过12,000名微软遭入侵受害者”。尚无独立机构发布单独的统计数字，而Health-ISAC的角色是作为共同原告加入，因为医疗机构也在目标之列，而不是审计这一计数。

微软报告称，受害者活动最集中的地方是美国、加拿大、英国、澳大利亚、印度和法国，并将受影响行业列为批发分销、建筑、金融服务、房地产、高等教育和医疗保健。“最集中”这一措辞很重要：这六个国家是相关活动聚集的地方，而非受害者所在地的完整清单。起诉书指控该企业存在的目的是“为价值数百万美元的金融犯罪提供便利”，但本文所查阅的公开声明均未给出损失金额，也没有任何受害者被点名。

有一个结构性问题，关系到这些数字能承载多大分量。微软既是该骗局滥用其登录页面的身份提供商，又是对平台进行逆向工程的调查方，也是受害者人数的来源——同一个组织同时扮演这三个角色。其陈述详尽且前后一致，并且独立媒体核查的每一点都得到了印证，包括定价、作案机制和逮捕情况。受害者人数尚未得到独立核实。

此次打击行动：一桩民事案件、两次逮捕，以及它们无法证明之事

微软的行动分两条线推进。在美国，数字犯罪部门与Health-ISAC作为共同原告，获得美国弗吉尼亚东区联邦地区法院的授权，随后与Cloudflare、Coinbase、OpenAI、Railway、SpyCloud、The Shadowserver Foundation和TRM Labs合作，用其的话说，“对该平台的关键部分采取行动”。微软称，它查封了用于运营该服务的50个网站，并禁用了另外150多个与其基础设施相关的域名。它称此次行动是其第40次经法院授权的打击行动，也是其首次针对所谓的“端到端AI赋能的网络犯罪服务”采取行动。

该诉讼所依据的起诉状点名了两名居住在英国的被告——Felix Utomi 和 Waidi Segun Adams——以及五名未具名当事人，即 DOES 1-5，并诉称其违反了《计算机欺诈与滥用法》《电子通信隐私法》《兰汉姆法》和《敲诈勒索及腐败组织法》。微软数字犯罪部门公布的副本盖有“密封提交”的印章，未载有案件编号，并描述了两名基础设施提供商被告、三名仅以 Telegram 账号名和职位加以描述的辅助人员，以及两名终端用户，其访问权限涉及一家位于弗吉尼亚州的微软客户和一家位于弗吉尼亚州的 Health-ISAC 成员。SecurityWeek 报道称，该起诉状还针对五名未具名个人。该档案的案件摘要记载，该平台背后一家在英国注册的公司已在诉状中被点名；公布的文件标题仅列明个人，而微软的帖子以及此处所审阅的报道均未指明任何企业被告。

另据消息，伦敦大都会警察局网络犯罪团队于2026年9月11日逮捕了两名男子，年龄分别为32岁和38岁，并查获了数字设备及其他物品。数字犯罪部门表示，在调查继续进行期间，两人均已获得附带条件的警方保释。大都会警察局向《The Record》证实了此次逮捕行动，并称两人因涉嫌制作用于欺诈和洗钱的物品而被拘留；微软于8月向该部门举报了此事，但拒绝向该媒体透露两人的身份。领导此次调查的侦缉督察塞雷娜·达达莫表示：“网络钓鱼服务给成千上万的人带来痛苦，从世界各地的普通人手中骗走钱财。”

记录中未包含的内容同样值得说明。目前尚未宣布任何指控。没有任何法院对任何人作出不利认定。在民事起诉中被点名只是指控，而非定罪；被捕的两名男子已获保释，而非被起诉。已公布的信息均未表明，被查封的基础设施已被追溯到某起具体的欺诈损失；微软的帖子以及本文所审阅的报道都没有将其与任何具体损失联系起来，而微软自己的表述是，瓦解并不等于根除：“支撑 EvilTokens 的基础设施已被瓦解，但它所展示的模式不会随之消失，”Masada 写道。

微软表示防御者应该做什么

Security Blog 的指导异常具体，也是本集中适用性最广的部分。其第一条建议是，在不需要的地方彻底阻止设备代码流；在 Teams 设备需要它时，将例外范围缩小到特定的 Teams 设备资源账户，并将 Device Registration Service 资源从条件访问中排除。除此之外，它建议使用抗钓鱼的多重身份验证，例如 FIDO 令牌或 Microsoft Authenticator 通行密钥，阻止旧式身份验证并避免使用基于电话的 MFA；启用 Safe Links，据其称这还会启用高置信度的设备代码钓鱼警报；将高级钓鱼阈值提高到 2 或 3；开启零时自动清除；并对创建可疑收件箱规则的行为发出警报。

对响应人员而言，安全博客指出了一个陷阱，它解释了这些入侵为何持续存在。标准会话撤销若使用 revokeSignInSessions，可能只会使刷新令牌失效，而访问令牌在最长一小时内仍有效——因此 Microsoft 建议立即暂时禁用被入侵的账户以实现即时遏制，并用其令牌盗窃操作手册处理疑似刷新令牌被盗的情况。Digital Crimes Unit 还补充了一项任何产品都无法提供的控制措施：通过可信的第二渠道独立核实更改支付信息、重定向资金或批准异常交易的请求。该部门向组织传达的教训是：“一旦收件箱被入侵，犯罪分子可能在几分钟内就了解其内容，而不是几天。”

这些指导意见均未经过独立评估，记录中也没有关于多少受影响组织启用了设备代码流、或此后有多少组织已将其屏蔽的统计。微软表示，已通知受影响客户并协助修复受损账户；至于各组织各自采取了什么应对措施，则并未公开。

该存档将这一条目归类为已发生事件，严重性高，置信度为A，无争议，记录有真实损害，并确认存在AI参与，日期定为微软发布公告的同一天。这一评级反映了该事件的记录充分程度——两篇微软文章、一份法院文件以及独立报道在攻击机制、定价和逮捕情况上相互印证——也正是这篇记述能够具体说明攻击链的原因。它并不会把微软的受害者计数转化为经审计的数字，也不会把针对两名具名男子的民事指控变成事实认定。更持久的要点或许是微软违背自身利益所提出的那一点：基础设施已被下线，而模板——一个被盗会话、一个会读取收件箱的助手，以及一份几分钟内起草的欺诈计划——却并未消失。