Поліція Британії затримала двох підозрюваних у справі EvilTokens, Microsoft вилучила 50 фішингових сайтів

Коаліція правоохоронних органів і технологічних компаній на чолі з Microsoft знешкодила фішингову платформу EvilTokens, яку злочинці використовували для зламу понад 12 000 поштових скриньок у більш ніж 10 000 організаціях по всьому світу.

Затримання в Лондоні та вилучення 50 сайтів

18 вересня поліція Лондона (Metropolitan Police Service) затримала двох чоловіків віком 32 і 38 років. Їх підозрюють у тому, що вони були адміністраторами сайту EvilTokens. Обох відпустили під заставу, розслідування триває. У межах скоординованої операції, що охопила США та Велику Британію, Microsoft вилучила 50 сайтів, які використовувалися для роботи сервісу, і вимкнула понад 150 додаткових доменів, пов'язаних із його інфраструктурою.

Операція відбулася за дозволом окружного суду США для Східного округу Вірджинії. Разом із Microsoft працювали Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation і TRM Labs. Оскільки серед цілей були й медичні організації, некомерційна Health-ISAC приєдналася до судового позову як співпозивач. Microsoft також повідомила постраждалих клієнтів і допомогла їм відновити скомпрометовані акаунти.

ШІ-чатбот для кіберзлочинців

EvilTokens з'явився в лютому як набір для фішингу на основі device code від Microsoft і продавався за підпискою. Покупці могли обходити багатофакторну автентифікацію (MFA) і непомітно входити в застосунки Microsoft 365 від імені жертви.

Особливо небезпечним його робило використання штучного інтелекту. Набір містив ШІ-чатбот, який аналізував поштову скриньку жертви та допомагав злочинцям визначити, на кого націлитися, які довірені контакти видавати за себе і які шахрайські схеми принесуть найбільший зиск. За словами віцепрезидента Microsoft з досліджень безпеки Танмая Ганачарі (Tanmay Ganacharya), з 15 березня 2026 року сервіс запускав «від 10 до 15 окремих кампаній кожні 24 години».

Сорокова операція і попередження

Це 40-ше судове втручання Microsoft Digital Crimes Unit за майже два десятиліття і перше проти наскрізного кіберзлочинного сервісу, побудованого на ШІ.

«Інфраструктуру EvilTokens знешкоджено, але модель, яку він продемонстрував, не зникне разом із ним», — заявив Стівен Масада (Steven Masada), асоційований генеральний радник і генеральний менеджер DCU. Він радить організаціям виходити з того, що після зламу скриньки злочинці можуть зрозуміти її вміст «за хвилини, а не за дні», зберігати надійний захист ідентичності та моніторинг, а запити на зміну платіжних даних чи нетипові транзакції перевіряти незалежно, через довірений другий канал.