Платформа EvilTokens помогла злоумышленникам скомпрометировать 12 000 аккаунтов Microsoft в 10 000 организаций по всему миру. Microsoft заявила, что сорвала работу сервиса, который превращал взлом корпоративной почты в почти конвейерную услугу: от рассылки приманок до анализа ящиков и подготовки убедительных писем для финансового мошенничества. Для русскоязычных IT-команд это неприятный, но полезный сигнал: AI в атаках уже не про красивую генерацию текста, а про ускорение самых муторных этапов компрометации.
Операцию Microsoft провела при участии партнеров по отрасли, сообщает Ars Technica. По данным компании, EvilTokens появился в Telegram-канале в феврале 2026 года и работал по подписочной модели: первоначальный взнос составлял $1 500, затем пользователи платили еще $500 в месяц. За эти деньги они получали не один инструмент, а end-to-end-платформу для массового захвата аккаунтов и последующих атак на бизнес-процессы внутри компаний.
Масштаб выглядит вполне корпоративно, только с другой стороны баррикады. Microsoft заявила о 12 000 скомпрометированных пользовательских аккаунтов в 10 000 организациях. Больше всего пострадавших оказалось в США, затем идут Канада, Великобритания, Австралия, Индия и Франция. Среди жертв были компании из оптовой дистрибуции, строительства, финансовых услуг, недвижимости, высшего образования и здравоохранения. То есть не только технологический сектор, где все уже привыкли жить с SIEM, MFA и вечными алертами, а широкий бизнес, где платежные процессы часто держатся на почте и доверии к знакомым именам.
Microsoft заявила, что через юридические процедуры и сеть партнеров изъяла 50 сайтов и еще 150 доменов, связанных с работой EvilTokens. В Великобритании Metropolitan Police Service арестовала двух мужчин по подозрению в преступлениях, предположительно связанных с этой платформой. Это важная часть истории: речь не о точечном закрытии одного фишингового домена, который завтра воскреснет под соседним именем, а о попытке выбить инфраструктуру сервиса, продававшего киберпреступникам готовую операционную модель.
Технически атаки опирались на легитимный механизм OAuth — device code authentication. Он нужен для устройств с неудобным вводом: телевизоров, консолей и другого железа, где проще показать код, а пользователь вводит его в браузере на другом устройстве. EvilTokens использовал этот сценарий против самих пользователей. Жертва получала письмо, переходила по вредоносной ссылке или открывала вложение, после чего попадала на страницу со скрытой автоматизацией. Скрипт в реальном времени взаимодействовал с провайдером идентификации Microsoft и генерировал код для подключения устройства атакующего.
Дальше начиналась социальная механика. Пользователю показывали код и просили ввести его на официальном портале входа Microsoft. Внешне это выглядело не как классический фишинговый сайт с криво сверстанной формой логина, а как взаимодействие с настоящей инфраструктурой Microsoft. По данным SpyCloud, участвовавшей в операции, речь шла о Microsoft Entra. На бэкенде EvilTokens использовал сложную логику на Node.js, чтобы динамически генерировать коды и вести атаку от первого контакта до действий после компрометации. Для защитных систем, привыкших искать статические признаки и повторяющиеся шаблоны, такой сценарий куда неприятнее обычной массовой рассылки.
Самая важная часть — не вход в ящик, а то, что происходило после. Платформа EvilTokens могла анализировать до 5 000 скомпрометированных писем за раз. Встроенный AI-чатбот разбирал переписку, искал доверенные связи, платежные полномочия, чувствительные роли и ситуации, где мошенничество с переводом денег могло сработать. Он помогал понять, кто в компании может распоряжаться крупными суммами, кому этот человек подчиняется, какие поставщики и клиенты уже фигурируют в переписке, и какой предлог будет выглядеть достаточно правдоподобно.
Для атакующих это экономия времени. Раньше после взлома почты нужно было вручную читать тысячи писем, восстанавливать оргструктуру, искать цепочки согласований, изучать стиль общения руководителей и бухгалтерии. Теперь этот этап можно поручить инструменту, который быстро собирает карту доверия внутри компании и предлагает сценарии для атаки. Именно здесь AI превращается из модного слова в практичный усилитель преступной экономики: меньше ручной работы, больше попыток, выше скорость отбора перспективных целей.
Для разработчиков и администраторов вывод довольно приземленный. Одной многофакторной аутентификации мало, если в организации включены сценарии device code flow и нет нормального мониторинга подозрительных регистраций устройств. Нужны политики условного доступа, контроль OAuth-приложений и устройств, алерты на необычные входы, ограничения для legacy- и device-code-сценариев там, где они не нужны бизнесу. Для финансовых и операционных команд не менее важна скучная процедура: любое изменение реквизитов, срочный перевод или необычное платежное поручение надо подтверждать вторым каналом, а не ответом в той же почтовой ветке.
История с EvilTokens показывает, куда движется рынок киберпреступных сервисов: от набора разрозненных скриптов к подписочным платформам с интерфейсом, автоматизацией и AI-помощником. Защитникам придется считать взломанный почтовый ящик не просто утечкой переписки, а почти мгновенной утечкой контекста: ролей, отношений, полномочий и внутренних привычек компании. Вопрос теперь не в том, умеют ли злоумышленники читать корпоративную почту. Вопрос в том, насколько быстро они смогут превратить ее в платежную инструкцию, которая выглядит слишком знакомо, чтобы вызвать подозрение.