המשטרה הבריטית עצרה שני חשודים ב-EvilTokens; מיקרוסופט תפסה 50 אתרי פישינג

קואליציה של רשויות אכיפת חוק וחברות טכנולוגיה בראשות מיקרוסופט פירקה את EvilTokens, פלטפורמת פישינג-כשירות ששימשה עבריינים לפריצה ליותר מ-12,000 תיבות דואר ביותר מ-10,000 ארגונים ברחבי העולם.

מעצרים בלונדון ו-50 אתרים שהוחרמו

משטרת המטרופולין של לונדון עצרה ב-18 בספטמבר שני גברים בני 32 ו-38 בחשד שניהלו את אתר EvilTokens. השניים שוחררו בערבות והחקירה נמשכת. בפעולה מתואמת בארה"ב ובבריטניה החרימה מיקרוסופט 50 אתרים ששימשו להפעלת השירות והשביתה יותר מ-150 דומיינים נוספים של תשתית התומכת בו.

הפעולה התבצעה לאחר הרשאות מבית המשפט המחוזי של ארה"ב במחוז המזרחי של וירג'יניה. לצד מיקרוסופט פעלו Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation ו-TRM Labs. מאחר שגם ארגוני בריאות היו בין המטרות, הצטרפה העמותה Health-ISAC לתביעה כשותפה. מיקרוסופט גם הודיעה ללקוחות שנפגעו וסייעה להם לשקם חשבונות שנפרצו.

צ'אטבוט בינה מלאכותית שנועד לפשע

EvilTokens הופיע בפברואר כערכת פישינג מבוססת device code של מיקרוסופט, שנמכרה במנוי. קונים יכלו לעקוף אימות רב-שלבי (MFA) ולהיכנס בשקט לחשבונות Microsoft 365 של הקורבן.

מה שהפך אותו למסוכן במיוחד היה השימוש בבינה מלאכותית. הערכה כללה צ'אטבוט AI שניתח את תיבת הדואר של הקורבן ועזר לעבריינים להחליט על מי לתקוף, לאילו אנשי קשר מהימנים להתחזות ואילו שיטות הונאה יניבו את הרווח הגדול ביותר. לדברי טנמאי גנאצ'אריה (Tanmay Ganacharya), סגן נשיא מיקרוסופט למחקר אבטחה, מאז 15 במרץ 2026 השירות הפעיל "10 עד 15 קמפיינים נפרדים בכל 24 שעות".

הפעולה ה-40 ואזהרה

זו הפעולה ה-40 של היחידה לפשעים דיגיטליים של מיקרוסופט (DCU) בהרשאה שיפוטית בכמעט שני עשורים, והראשונה נגד שירות פשע קיברנטי מקצה לקצה שמבוסס על בינה מלאכותית.

"תשתית EvilTokens הושבתה, אבל המודל שהיא הדגימה לא ייעלם איתה", אמר סטיבן מאסאדה (Steven Masada), סגן היועץ המשפטי הכללי ומנהל DCU. לדבריו, ארגונים צריכים להניח שכאשר תיבת דואר נפרצת, העבריינים עלולים להבין את תוכנה "בדקות, לא בימים"; לשמור על הגנות זהות חזקות וניטור, ולאמת בנפרד, בערוץ שני ומהימן, בקשות לשינוי פרטי תשלום או עסקאות חריגות.