Во вторник Microsoft объявила о ликвидации EvilTokens, коммерческой платформы для фишинга через код устройства, работавшей по модели «фишинг как услуга» (PhaaS). Точная календарная дата объявления не раскрыта. Разработчиков и операторов сервиса Microsoft отслеживает под обозначением Storm-2992. По оценке компании, искусственный интеллект применялся «на каждом этапе цепочки атаки»: от захвата почтового аккаунта и разбора переписки до поиска финансовых сотрудников, подготовки компрометации деловой почты (BEC), подделки счетов и создания сообщений от имени доверенных лиц. Разрешение на блокировку выдал Окружной суд США по Восточному округу Вирджинии. В операции участвовали Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation и TRM Labs. Были изъяты 50 сайтов и отключены более 150 связанных доменов. Столичная полицейская служба Великобритании 11 сентября 2026 года арестовала двух мужчин, 32 и 38 лет, по делу о работе этого преступного бизнеса.
С EvilTokens связаны свыше 12 000 взломанных почтовых ящиков более чем в 10 000 организаций по всему миру. SpyCloud передала участникам операции собственный массив перехваченных фишинговых данных: 8708 уникальных учетных записей, 6585 корпоративных почтовых доменов и жертвы в 79 странах. Это лишь восстановленная SpyCloud часть данных, а не полный список пострадавших. Самая ранняя зафиксированная активность датируется 18 февраля 2026 года. Больше всего эпизодов пришлось на США, Канаду, Великобританию, Австралию, Индию и Францию. Среди атакованных отраслей оказались оптовая торговля, строительство, финансовые услуги, недвижимость, высшее образование и здравоохранение. Microsoft полагает, что столь широкий охват появился за сравнительно короткий срок.
Microsoft назвала EvilTokens «мощной киберпреступной платформой». В одном интерфейсе клиент получал взлом аккаунта, анализ ящика, поиск доверенных корреспондентов и распорядителей платежей, подбор цели, разработку схемы обмана и подготовку переписки для вывода денег. В комплект входили панель управления, инфраструктура фишинга, средства доставки и перенаправления писем, ИИ-инструменты, подписка и техподдержка. Навыки в атаках на цифровую идентичность, облачных системах, социальной инженерии и финансовом мошенничестве заменял готовый набор кнопок. TRM Labs сообщила, что такая упаковка резко снизила порог входа в массовые BEC-атаки и махинации со счетами.
Центральным инструментом был чат-бот, изучавший уже захваченную почту. По словам Стивена Маса́ды (Steven Masada), заместителя главного юрисконсульта и генерального менеджера Digital Crimes Unit Microsoft, программа находила доверительные связи, право согласовывать платежи, чувствительные обязанности сотрудников и ситуации, где обман имел больше шансов. Она предлагала сценарий мошенничества и писала сообщения от имени знакомого жертве человека. Другие функции суммировали и переводили письма, разбирали выгруженную переписку, находили финансовые цепочки, восстанавливали роли внутри компании и выбирали подходящую цель. Готовые запросы искали обсуждения банковских переводов, корпоративных «распорядителей денег», счета поставщиков и людей, которых удобнее всего изображать. Значительная часть инструментария, судя по найденным материалам, могла быть создана при помощи ИИ методом так называемого «вайб-кодинга». SpyCloud заметила: работа, прежде требовавшая участия опытного преступника, продавалась клиентам за 500 долларов в месяц.
История сервиса прослеживается как минимум с октября 2025 года. Coinbase установила, что с октября 2025-го по июнь 2026-го через четыре адреса в сети Tron прошло около 1,1 млн долларов выручки EvilTokens. Зафиксировано более 1000 депозитов с более чем 700 разных адресов криптовалютной экосистемы. По данным Sekoia, примерно с середины февраля 2026 года набор продавался в Telegram как PhaaS; 18 февраля относится к самой ранней жертве в массиве SpyCloud. В марте Huntress впервые описала EvilTokens как сервис, злоупотребляющий потоком авторизации устройств OAuth 2.0. В конце марта Sekoia представила его как готовую платформу с самостоятельно размещаемыми фишинговыми шаблонами и автоматизацией BEC через ИИ. Период финансового анализа Coinbase закончился в июне, 11 сентября последовали аресты, а затем Microsoft сообщила о блокировке. После первоначальной публикации сведений в материалы также добавили ответ Sekoia.
Атака начиналась с одного из 44 сюжетов-приманок: счета, запроса предложений (RFP), общего файла и других деловых поводов. В письме находились вредоносная ссылка, PDF либо HTML-файл. После клика жертва попадала на страницу, где фоновый скрипт в реальном времени обращался к системе идентификации Microsoft и создавал действующий код устройства. Страница показывала код, кнопку «Копировать код» и кнопку «Продолжить» либо «Продолжить с Microsoft». Затем пользователя переводили на настоящий адрес . Там он вставлял код и, если активной сессии не было, вводил учетные данные и код многофакторной аутентификации (MFA). Законный сервер выпускал токены доступа и обновления, но они оказывались привязаны к клиенту злоумышленника. Пароль фишинговому сайту можно было вообще не сообщать: пользователь сам подтверждал чужую сессию на подлинной странице Microsoft.
Получив авторизованный доступ, преступники читали и выгружали письма, регистрировали новые устройства, создавали правила сортировки для сокрытия переписки и сохраняли присутствие в аккаунте. Иногда добавленное устройство становилось запасным входом в почтовый ящик. Обычная смена пароля проблему не решала, если служба безопасности отдельно не отзывала активные сеансы, токены доступа и токены обновления. MFA тоже не спасала, поскольку жертва корректно проходила ее внутри настоящего процесса OAuth 2.0, не понимая, чье устройство авторизует. После входа EvilTokens сразу разбирал содержимое ящика и искал платежные процессы, поставщиков, финансовых руководителей и удобных для подмены корреспондентов.
Для обхода почтовых шлюзов, защиты рабочих станций и доменных блок-листов применялась многоступенчатая доставка: поддельные CAPTCHA, цепочки перенаправлений и серверные платформы с хорошей репутацией. Упомянуты Vercel, Cloudflare Workers и AWS Lambda, трафик которых трудно отделить от обычной корпоративной облачной активности одной лишь блокировкой доменов. Cloudflare обнаружила фишинговые домены и проекты Workers, использовавшиеся против клиентов Microsoft и самой Cloudflare. Покупатель EvilTokens мог вставить собственный API-ключ Cloudflare в панель, после чего сервис настраивал Worker, разворачивал страницу и собирал учетные данные; добыча могла пересылаться прямо в Telegram-канал клиента. Домены покупала и настраивала третья сторона, а управлялись они из другой страны. Cloudflare заблокировала сотни доменов и проектов Workers, остановила скрипты и приостановила связанные учетные записи.
Коммерческая схема была запутанной, но вполне магазинной. Пожизненный доступ к административной панели стоил 1500 долларов; в ней партнеры видели похищенные токены Microsoft. Еще 500 долларов ежемесячно требовались за лицензию, код фишинговой страницы, активный API-ключ, серверную интеграцию и основную функцию атак через код устройства. Отдельно упоминается подписка за те же 500 долларов в месяц на продолжение доступа к набору и панели. В материалах говорится о трех продуктах, хотя поименно в соответствующем перечне указаны лишь два: EvilTokens B2B Sender за 600 долларов и EvilTokens Office 365 Capture Link за 1500 долларов; название третьего не приведено. Дополнительный ассортимент включал Antibot Redirector, B2B Sender, Office 365 Capture Link и Simple Mail Transfer Protocol (SMTP) Sender. Клиенты меняли приманки, генерировали адресные письма с помощью ИИ и следили за кампаниями через панель.
Продажи и поддержка шли через Telegram. С администраторами связывались по адресам @eviltokensadmin и @eviltokensadmins, резервным контактом служил @EvilTokenscontact. Магазин обслуживали боты @EvilTokens_bot и @EvilTokensStorebot, новости публиковались в @EvilTokensChannel. С EvilTokens также связывают группу . Такое устройство позволяло продавцам разнести прием криптовалюты, выдачу лицензий, обслуживание клиентов и получение похищенных данных по разным сервисам, не строя всю инфраструктуру самостоятельно.
SpyCloud назвала EvilTokens первой PhaaS-платформой, внедрившей фишинг через код устройства в крупном масштабе. Компания считает, что одновременное изъятие 50 сайтов и отключение 150 доменов стало возможным лишь благодаря синхронным действиям хостинг-провайдеров, криптовалютных бирж, поставщиков ИИ-моделей и владельцев данных. Квентин Бург (Quentin Bourgue), CTI-аналитик подразделения Sekoia Threat Detection and Research (TDR), сообщил The Hacker News, что ликвидация ударила по сервису, делавшему адресное финансовое мошенничество доступнее. По его словам, EvilTokens анализировал украденные письма, находил разговоры о платежах и готовил персональные BEC-сообщения, сокращая ручную работу между взломом ящика и попыткой хищения. У защитников из-за этого оставалось меньше времени на реакцию.
Защита от такой схемы начинается с наблюдения за необычной авторизацией по коду устройства, новыми устройствами, подозрительными сеансами и операциями с токенами. После обнаружения взлома нужно завершить сеансы, отозвать токены доступа и обновления, удалить неизвестные устройства и проверить правила почтового ящика, особенно скрывающие или пересылающие письма. Одной смены пароля недостаточно. Бург советует как можно раньше выявлять захват аккаунта и немедленно отзывать токены: ИИ способен за короткое время извлечь из переписки готовый план обмана, включая суммы, цепочку согласования, поставщика и имя человека, от которого жертва привыкла получать платежные инструкции.
Изображение носит иллюстративный характер
С EvilTokens связаны свыше 12 000 взломанных почтовых ящиков более чем в 10 000 организаций по всему миру. SpyCloud передала участникам операции собственный массив перехваченных фишинговых данных: 8708 уникальных учетных записей, 6585 корпоративных почтовых доменов и жертвы в 79 странах. Это лишь восстановленная SpyCloud часть данных, а не полный список пострадавших. Самая ранняя зафиксированная активность датируется 18 февраля 2026 года. Больше всего эпизодов пришлось на США, Канаду, Великобританию, Австралию, Индию и Францию. Среди атакованных отраслей оказались оптовая торговля, строительство, финансовые услуги, недвижимость, высшее образование и здравоохранение. Microsoft полагает, что столь широкий охват появился за сравнительно короткий срок.
Microsoft назвала EvilTokens «мощной киберпреступной платформой». В одном интерфейсе клиент получал взлом аккаунта, анализ ящика, поиск доверенных корреспондентов и распорядителей платежей, подбор цели, разработку схемы обмана и подготовку переписки для вывода денег. В комплект входили панель управления, инфраструктура фишинга, средства доставки и перенаправления писем, ИИ-инструменты, подписка и техподдержка. Навыки в атаках на цифровую идентичность, облачных системах, социальной инженерии и финансовом мошенничестве заменял готовый набор кнопок. TRM Labs сообщила, что такая упаковка резко снизила порог входа в массовые BEC-атаки и махинации со счетами.
Центральным инструментом был чат-бот, изучавший уже захваченную почту. По словам Стивена Маса́ды (Steven Masada), заместителя главного юрисконсульта и генерального менеджера Digital Crimes Unit Microsoft, программа находила доверительные связи, право согласовывать платежи, чувствительные обязанности сотрудников и ситуации, где обман имел больше шансов. Она предлагала сценарий мошенничества и писала сообщения от имени знакомого жертве человека. Другие функции суммировали и переводили письма, разбирали выгруженную переписку, находили финансовые цепочки, восстанавливали роли внутри компании и выбирали подходящую цель. Готовые запросы искали обсуждения банковских переводов, корпоративных «распорядителей денег», счета поставщиков и людей, которых удобнее всего изображать. Значительная часть инструментария, судя по найденным материалам, могла быть создана при помощи ИИ методом так называемого «вайб-кодинга». SpyCloud заметила: работа, прежде требовавшая участия опытного преступника, продавалась клиентам за 500 долларов в месяц.
История сервиса прослеживается как минимум с октября 2025 года. Coinbase установила, что с октября 2025-го по июнь 2026-го через четыре адреса в сети Tron прошло около 1,1 млн долларов выручки EvilTokens. Зафиксировано более 1000 депозитов с более чем 700 разных адресов криптовалютной экосистемы. По данным Sekoia, примерно с середины февраля 2026 года набор продавался в Telegram как PhaaS; 18 февраля относится к самой ранней жертве в массиве SpyCloud. В марте Huntress впервые описала EvilTokens как сервис, злоупотребляющий потоком авторизации устройств OAuth 2.0. В конце марта Sekoia представила его как готовую платформу с самостоятельно размещаемыми фишинговыми шаблонами и автоматизацией BEC через ИИ. Период финансового анализа Coinbase закончился в июне, 11 сентября последовали аресты, а затем Microsoft сообщила о блокировке. После первоначальной публикации сведений в материалы также добавили ответ Sekoia.
Атака начиналась с одного из 44 сюжетов-приманок: счета, запроса предложений (RFP), общего файла и других деловых поводов. В письме находились вредоносная ссылка, PDF либо HTML-файл. После клика жертва попадала на страницу, где фоновый скрипт в реальном времени обращался к системе идентификации Microsoft и создавал действующий код устройства. Страница показывала код, кнопку «Копировать код» и кнопку «Продолжить» либо «Продолжить с Microsoft». Затем пользователя переводили на настоящий адрес . Там он вставлял код и, если активной сессии не было, вводил учетные данные и код многофакторной аутентификации (MFA). Законный сервер выпускал токены доступа и обновления, но они оказывались привязаны к клиенту злоумышленника. Пароль фишинговому сайту можно было вообще не сообщать: пользователь сам подтверждал чужую сессию на подлинной странице Microsoft.
Получив авторизованный доступ, преступники читали и выгружали письма, регистрировали новые устройства, создавали правила сортировки для сокрытия переписки и сохраняли присутствие в аккаунте. Иногда добавленное устройство становилось запасным входом в почтовый ящик. Обычная смена пароля проблему не решала, если служба безопасности отдельно не отзывала активные сеансы, токены доступа и токены обновления. MFA тоже не спасала, поскольку жертва корректно проходила ее внутри настоящего процесса OAuth 2.0, не понимая, чье устройство авторизует. После входа EvilTokens сразу разбирал содержимое ящика и искал платежные процессы, поставщиков, финансовых руководителей и удобных для подмены корреспондентов.
Для обхода почтовых шлюзов, защиты рабочих станций и доменных блок-листов применялась многоступенчатая доставка: поддельные CAPTCHA, цепочки перенаправлений и серверные платформы с хорошей репутацией. Упомянуты Vercel, Cloudflare Workers и AWS Lambda, трафик которых трудно отделить от обычной корпоративной облачной активности одной лишь блокировкой доменов. Cloudflare обнаружила фишинговые домены и проекты Workers, использовавшиеся против клиентов Microsoft и самой Cloudflare. Покупатель EvilTokens мог вставить собственный API-ключ Cloudflare в панель, после чего сервис настраивал Worker, разворачивал страницу и собирал учетные данные; добыча могла пересылаться прямо в Telegram-канал клиента. Домены покупала и настраивала третья сторона, а управлялись они из другой страны. Cloudflare заблокировала сотни доменов и проектов Workers, остановила скрипты и приостановила связанные учетные записи.
Коммерческая схема была запутанной, но вполне магазинной. Пожизненный доступ к административной панели стоил 1500 долларов; в ней партнеры видели похищенные токены Microsoft. Еще 500 долларов ежемесячно требовались за лицензию, код фишинговой страницы, активный API-ключ, серверную интеграцию и основную функцию атак через код устройства. Отдельно упоминается подписка за те же 500 долларов в месяц на продолжение доступа к набору и панели. В материалах говорится о трех продуктах, хотя поименно в соответствующем перечне указаны лишь два: EvilTokens B2B Sender за 600 долларов и EvilTokens Office 365 Capture Link за 1500 долларов; название третьего не приведено. Дополнительный ассортимент включал Antibot Redirector, B2B Sender, Office 365 Capture Link и Simple Mail Transfer Protocol (SMTP) Sender. Клиенты меняли приманки, генерировали адресные письма с помощью ИИ и следили за кампаниями через панель.
Продажи и поддержка шли через Telegram. С администраторами связывались по адресам @eviltokensadmin и @eviltokensadmins, резервным контактом служил @EvilTokenscontact. Магазин обслуживали боты @EvilTokens_bot и @EvilTokensStorebot, новости публиковались в @EvilTokensChannel. С EvilTokens также связывают группу . Такое устройство позволяло продавцам разнести прием криптовалюты, выдачу лицензий, обслуживание клиентов и получение похищенных данных по разным сервисам, не строя всю инфраструктуру самостоятельно.
SpyCloud назвала EvilTokens первой PhaaS-платформой, внедрившей фишинг через код устройства в крупном масштабе. Компания считает, что одновременное изъятие 50 сайтов и отключение 150 доменов стало возможным лишь благодаря синхронным действиям хостинг-провайдеров, криптовалютных бирж, поставщиков ИИ-моделей и владельцев данных. Квентин Бург (Quentin Bourgue), CTI-аналитик подразделения Sekoia Threat Detection and Research (TDR), сообщил The Hacker News, что ликвидация ударила по сервису, делавшему адресное финансовое мошенничество доступнее. По его словам, EvilTokens анализировал украденные письма, находил разговоры о платежах и готовил персональные BEC-сообщения, сокращая ручную работу между взломом ящика и попыткой хищения. У защитников из-за этого оставалось меньше времени на реакцию.
Защита от такой схемы начинается с наблюдения за необычной авторизацией по коду устройства, новыми устройствами, подозрительными сеансами и операциями с токенами. После обнаружения взлома нужно завершить сеансы, отозвать токены доступа и обновления, удалить неизвестные устройства и проверить правила почтового ящика, особенно скрывающие или пересылающие письма. Одной смены пароля недостаточно. Бург советует как можно раньше выявлять захват аккаунта и немедленно отзывать токены: ИИ способен за короткое время извлечь из переписки готовый план обмана, включая суммы, цепочку согласования, поставщика и имя человека, от которого жертва привыкла получать платежные инструкции.
