شرطة بريطانيا توقف مشتبهين اثنين بقضية EvilTokens ومايكروسوفت تصادر 50 موقع تصيّد

فكّك تحالف من أجهزة إنفاذ القانون وشركات التقنية بقيادة مايكروسوفت منصة EvilTokens، وهي خدمة تصيّد إلكتروني تعتمد نموذج التصيّد كخدمة واستُخدمت لاختراق أكثر من 12 ألف صندوق بريد إلكتروني في أكثر من 10 آلاف مؤسسة حول العالم.

اعتقالات في لندن وضبط 50 موقعًا

اعتقلت شرطة العاصمة البريطانية في 18 سبتمبر رجلين يبلغان 32 و38 عامًا للاشتباه في إدارتهما موقع EvilTokens. أُطلق سراحهما بكفالة بينما يستمر التحقيق. وفي عملية منسّقة شملت الولايات المتحدة وبريطانيا، صادرت مايكروسوفت 50 موقعًا استُخدمت لتشغيل الخدمة، وعطّلت أكثر من 150 نطاقًا إضافيًا مرتبطًا ببنيتها التحتية الداعمة.

جرت العملية بموجب أذونات من المحكمة الجزئية الأميركية للمنطقة الشرقية في فرجينيا. وعملت مايكروسوفت إلى جانب Cloudflare وCoinbase وOpenAI وRailway وSpyCloud وThe Shadowserver Foundation وTRM Labs. ولأن مؤسسات صحية كانت بين المستهدفين، انضمت المنظمة غير الربحية Health-ISAC إلى الدعوى كمدّعٍ مشارك. كما أبلغت مايكروسوفت العملاء المتأثرين وساعدتهم على استعادة الحسابات المخترقة.

روبوت محادثة ذكاء اصطناعي في خدمة الجريمة

ظهر EvilTokens في فبراير كحزمة تصيّد تعتمد على رمز الجهاز من مايكروسوفت، وكانت تُباع بالاشتراك. ومكّنت المشترين من تجاوز المصادقة متعددة العوامل (MFA) وتسجيل الدخول بصمت إلى تطبيقات Microsoft 365 باسم الضحية.

وما زاد خطورته هو استخدامه الذكاء الاصطناعي؛ إذ ضمّت الحزمة روبوت محادثة يحلّل صندوق بريد الضحية ويساعد المجرمين على تحديد من يستهدفون، وأي جهات اتصال موثوقة ينتحلون هويتها، وأي أساليب الاحتيال تحقق أكبر عائد. وبحسب تانماي غاناشاريا (Tanmay Ganacharya)، نائب رئيس مايكروسوفت لأبحاث الأمن، فإن الخدمة كانت تطلق «ما بين 10 و15 حملة منفصلة كل 24 ساعة» منذ 15 مارس 2026.

العملية الأربعون وتحذير

هذه هي العملية الأربعون لوحدة الجرائم الرقمية في مايكروسوفت (DCU) بموجب إذن قضائي خلال نحو عقدين، والأولى ضد خدمة إجرامية سيبرانية متكاملة تعمل بالذكاء الاصطناعي.

وقال ستيفن ماسادا (Steven Masada)، المستشار العام المشارك والمدير العام للوحدة: «عُطّلت البنية التحتية التي تدعم EvilTokens، لكن النموذج الذي أظهرته لن يختفي معها». ودعا المؤسسات إلى افتراض أن المجرمين قد يفهمون محتوى صندوق البريد «في دقائق لا في أيام» بعد اختراقه، وإلى الإبقاء على حمايات الهوية القوية والمراقبة، والتحقق بشكل مستقل عبر قناة ثانية موثوقة من طلبات تغيير بيانات الدفع أو المعاملات غير المعتادة.