Minacce · 50 giorni fa
Microsoft e i partner della risposta hanno portato EvilTokens da operazione attiva a intervento di polizia: il 15 settembre sono stati sequestrati 50 siti, disattivati oltre 150 domini e avvisati i clienti colpiti. La parte nuova non è solo la rimozione dell’infrastruttura, ma il quadro che emerge: un servizio che usava inbox compromesse come motore rapido per frodi di pagamento.
EvilTokens spingeva le vittime a inserire un codice di autenticazione nella vera pagina di accesso Microsoft; così gli attaccanti ottenevano una sessione valida senza conoscere la password. Una volta dentro, l’AI integrata nel servizio leggeva le email, trovava discussioni su bonifici, fatture e persone chiave da impersonare, e poteva persino preparare risposte credibili. Il reset della password da solo non chiudeva l’accesso se sessioni e token restavano attivi.
Per chi approva cambi di coordinate bancarie o pagamenti via email, il punto non è solo il furto iniziale ma la velocità con cui una casella compromessa diventa strumento di frode. Il caso mostra che la finestra di risposta si accorcia molto quando l’attaccante può sfruttare conversazioni reali e contatti fidati già presenti nella mailbox.
12 fonti che coprono questa storia
AI-Powered Phishing Platform EvilTokens Disrupted by Microsoft
The cybercrime platform leveraged AI at every step of the attack chain, including writing social engineering messages and deciding targets.
EvilTokens, a phishing service that compromised over 12,000 inboxes and used AI to find fraud targets, has been disrupted.
OAuth Token Theft Through Microsoft's Front Door | Huntress
No phishing domain, no spoofed UI, no browser.
Microsoft Disrupts EvilTokens Device Code Phishing Service
Microsoft disrupted the EvilTokens phishing platform, which used AI-powered device code phishing to compromise thousands of organizations globally.
Microsoft disrupts AI-assisted platform that compromised 12,000 accounts
EvilTokens provided an end-to-end platform that makes mass compromises faster and easier.
Microsoft Takes Down EvilTokens Device-Code Phishing Service Tied to 12,000 Inbox Compromises
Microsoft disrupted EvilTokens after it was linked to more than 12,000 compromised inboxes across over 10,000 organizations.
Microsoft’s EvilTokens takedown sheds light on state of AI-powered cybercrime
Surreptitiously gaining persistent access to compromised Microsoft 365/Entra ID accounts, the group also offered an AI-powered chatbot to facilitate BEC scams.
UK cops arrest 2 EvilTokens suspects, Microsoft seizes 50 phishing kit websites
Used by crims to compromise 12K+ email inboxes across 10K+ global orgs
The Record from Recorded Future
Two arrested in UK after Microsoft takedown of ‘Eviltokens’ AI-chatbot for cybercriminals
Available on Telegram for a $1,500 initiation fee and a recurring monthly $500 subscription, EvilTokens provided cybercriminals with artificial intelligence tools enabling them to compromise accounts, analyze breached inboxes and find the best methods for monetizing their access through fraud.
Microsoft and partners disrupt EvilTokens, a comprehensive cybercrime service for financial fraud
The popular phishing-as-a-service platform used AI throughout the attack chain, allowing cybercriminals to steal tokens for account takeover and business email compromise.
Unmasking EvilTokens: Getting to the root of device code phishing | Microsoft Security Blog
In collaboration with partners, Microsoft Digital Crimes Unit (DCU) facilitated a disruption of EvilTokens infrastructure and operations.
EvilTokens PhaaS disrupted after compromising 12,000 Microsoft accounts
The EvilTokens platform that compromised more than 12,000 Microsoft accounts at over 10,000 organizations has been disrupted in an effort led by Microsoft's Digital Crimes Unit (DCU).
Part of the PlainSec briefing for 2026-09-24