Microsoft verstoort AI-phishingdienst EvilTokens

EvilTokens, een AI-gestuurde phishingdienst, werd door Microsoft gelinkt aan ruim 12.000 gecompromitteerde inboxen bij meer dan 10.000 organisaties voordat partners de infrastructuur verstoorden.

Voor organisaties op Microsoft 365 verschuift de inzet van wachtwoordbeveiliging naar de hele toegangs- en betaalroute. EvilTokens gebruikte een geldige Microsoft-inlog om mailboxen te lezen, relaties en betaalverantwoordelijkheden te vinden en fraude voor te bereiden. Een gecompromitteerde mailbox is daardoor tegelijk een identity-incident en een mogelijke route naar betalingsfraude.

Een inbox wordt een fraudekaart

EvilTokens deed meer dan een overtuigende phishingmail maken. De ingebouwde chatbot kon berichten samenvatten en vertalen, financiële gesprekken vinden, organisatierollen in kaart brengen en vertrouwde relaties aanwijzen. Het systeem selecteerde ook mensen die betalingen uitvoerden, zocht leveranciersfacturen en bereidde berichten voor die van een bekende contactpersoon leken te komen.

De AI zat ook aan de bouwkant. Microsoft-onderzoekers vonden aanwijzingen dat grote delen van EvilTokens met AI waren gebouwd en dat de dienst mogelijkheden van meerdere modellen combineerde. Daardoor was het geen losse chatbot naast een phishingkit, maar een kant-en-klare keten die toegang, analyse, doelwitkeuze en fraudevoorbereiding bij elkaar bracht.

EvilTokens werd via Telegram verkocht voor 1.500 dollar entree en 500 dollar per maand. Ongeveer 1.000 cybercriminelen gebruikten de dienst, meldde CyberScoop. Werk waarvoor een aanvaller eerder kennis van identity, cloudsystemen, social engineering en financiële fraude nodig had, kwam zo in één dienst beschikbaar.

De getroffen organisaties kwamen uit groothandel, bouw, financiële dienstverlening, vastgoed, hoger onderwijs en zorg. Een mailbox met facturen, betaalinstructies en leverancierscontacten kan in elke sector het startpunt van financiële fraude worden.

De aanval begint met een geldige inlog

De dienst misbruikte de legitieme device-code-authenticatie van Microsoft. Een slachtoffer kreeg een code en werd naar de echte Microsoft-inlogpagina gestuurd. Door daar zelf de aanmelding af te ronden, gaf het slachtoffer de aanvaller een geldige sessie en token, zonder een wachtwoord prijs te geven. De MFA-stap vond dus wel plaats, maar de token kwam bij de aanvaller terecht.

Na die inlog kon EvilTokens Microsoft Graph gebruiken om relaties en rechten in de organisatie te verkennen. Het systeem zocht vervolgens naar informatie over overboekingen, openstaande facturen en directiecorrespondentie. Dat sluit aan op de bredere opkomst van device-code-phishing als M365-dienst van 289 dollar per maand.

Dat maakt herstel na een incident breder dan een wachtwoordreset. Ook actieve sessies en tokens moeten worden ingetrokken, terwijl verdachte aanmeldingen en wijzigingen aan authenticatiemiddelen zichtbaar moeten worden. Een verzoek om betaalgegevens te wijzigen of geld om te leiden vraagt daarnaast om verificatie via een los, vertrouwd kanaal.

De dienst is verstoord, het patroon blijft

Microsoft en partners namen 50 websites in beslag en schakelden meer dan 150 extra domeinen uit die de dienst ondersteunden. In het Verenigd Koninkrijk werden twee vermoedelijke beheerders aangehouden en later op borgtocht vrijgelaten. The Register beschrijft de operatie als de eerste actie van Microsofts Digital Crimes Unit tegen een end-to-end AI-dienst voor cybercriminaliteit.

De infrastructuur is daarmee kleiner gemaakt, maar de onderliggende werkwijze niet verdwenen. Een geldige mailbox geeft toegang tot berichten, de organisatiestructuur en de betalingsroute. Identity security en fraudedetectie lopen daardoor in elkaar over. De relevante grens ligt dan niet meer bij de login, maar bij wat een geldig account daarna kan lezen en laten uitvoeren.