Microsoft e i partner della risposta hanno portato EvilTokens da operazione attiva a intervento di polizia: il 15 settembre sono stati sequestrati 50 siti, disattivati oltre 150 domini e avvisati i clienti colpiti. La parte nuova non è solo la rimozione dell’infrastruttura, ma il quadro che emerge: un servizio che usava inbox compromesse come motore rapido per frodi di pagamento.
EvilTokens spingeva le vittime a inserire un codice di autenticazione nella vera pagina di accesso Microsoft; così gli attaccanti ottenevano una sessione valida senza conoscere la password. Una volta dentro, l’AI integrata nel servizio leggeva le email, trovava discussioni su bonifici, fatture e persone chiave da impersonare, e poteva persino preparare risposte credibili. Il reset della password da solo non chiudeva l’accesso se sessioni e token restavano attivi.
Per chi approva cambi di coordinate bancarie o pagamenti via email, il punto non è solo il furto iniziale ma la velocità con cui una casella compromessa diventa strumento di frode. Il caso mostra che la finestra di risposta si accorcia molto quando l’attaccante può sfruttare conversazioni reali e contatti fidati già presenti nella mailbox.