Microsoft пресекла работу платформы EvilTokens на базе чат-бота — 12 000 взломанных почтовых ящиков

Microsoft заявила 22 сентября 2026 года, что пресекла работу EvilTokens — киберпреступной платформы по подписке, построенной вокруг ИИ-чат-бота, которая за несколько месяцев после запуска в феврале 2026 года оказалась связана более чем с 12 000 скомпрометированных почтовых ящиков в свыше 10 000 организаций по всему миру, говорится в публикации Стивена Масады, генерального директора подразделения Microsoft по цифровым преступлениям (Digital Crimes Unit, DCU). Ars Technica подтвердила эти сведения в тот же день, сославшись на раскрытие информации Microsoft.

Как работала платформа

• EvilTokens продавалась через Telegram-канал за вступительный взнос в 1500 долларов США плюс ежемесячный повторяющийся платёж в 500 долларов США, сообщила Microsoft.
• Злоумышленники обманом заставляли жертв завершить легитимный процесс входа Microsoft по коду устройства, что давало атакующим доступ к аккаунту без кражи паролей, по данным Microsoft.
• Оказавшись внутри почтового ящика, ИИ-чат-бот мог суммировать и переводить письма, выявлять финансовую переписку, картировать роли внутри организации и определять доверенные связи, включая поиск лиц, отвечающих за перемещение денег, и составление писем-имперсонаций, по данным Microsoft.
• Активность жертв была сосредоточена в США, Канаде, Великобритании, Австралии, Индии и Франции и охватывала оптовую торговлю, строительство, финансовые услуги, недвижимость, высшее образование и здравоохранение, сообщила Microsoft.

Пресечение деятельности

С санкции окружного суда США по Восточному округу Виргинии Microsoft и соистец Health-ISAC совместно с Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, Shadowserver Foundation и TRM Labs изъяли 50 веб-сайтов и отключили более 150 дополнительных доменов, сообщила Microsoft. В Великобритании подразделение по борьбе с киберпреступностью Столичной полицейской службы (Metropolitan Police Service) арестовало двух мужчин, 32 и 38 лет, 11 сентября 2026 года по подозрению в управлении платформой; оба были освобождены под условия полицейского надзора (police bail) на время продолжающегося расследования, сообщила Microsoft. Эта акция стала 40-й санкционированной судом операцией по пресечению деятельности DCU и первой, направленной против того, что Microsoft назвала «комплексной киберпреступной услугой на базе ИИ» (end-to-end AI-enabled cybercrime service).

Почему это важно

Этот случай — один из первых задокументированных примеров коммерческой киберпреступной услуги, в которой чат-бот управлял всей цепочкой мошенничества — автоматическим анализом почтовых ящиков, выбором цели, картированием связей и составлением писем-имперсонаций, — а не просто генерировал убедительные тексты для фишинга; собственные следователи Microsoft заявили, что использовали методы реверс-инжиниринга и автоматизированные инструменты анализа доказательств для ускорения встречного расследования. Для организаций Каспийского региона и других стран, использующих системы идентификации Microsoft 365, техника входа по коду устройства, лежащая в основе EvilTokens, работает вне зависимости от географии, поэтому рекомендация Microsoft независимо подтверждать запросы на изменение платёжных реквизитов по отдельному каналу связи актуальна далеко за пределами стран, упомянутых в её сообщении.