¿Cómo prevenir el Servicio de Inteligencia Artificial de EvilTokens?

Microsoft anunció el colapso de la inteligencia artificial de EvilTokens el 22 de septiembre de 2026. El servicio revelado en febrero de 2026 se utilizó para abordar más de 12.000 cuentas de correo electrónico en más de 10.000 instituciones. Lo que distingue a EvilTokens de los anteriores fue que el ataque de inteligencia artificial fue colocado en cada etapa. En este artículo, cómo funciona el servicio, cómo se lleva a cabo la operación y qué medidas pueden tomar las instituciones.

¿Cuánto cuesta la suscripción?

EvilTokens fue lanzado en febrero de 2026 como un servicio de suscriptores (phishing-as-a-service). Según las noticias publicadas en SecurityWeek El servicio se utilizó en el campo de más de 10.000 cuentas de correo electrónico. Se encuentran principalmente en EE.UU., Canadá, Reino Unido, Australia, India y Francia. Se ofrecieron 44 temas diferentes para los usuarios por correo electrónico falso y páginas de inicio de sesión.

Las ventas se hicieron a través de Telegram. 1.500$ cuota de entrada para unirse al servicio, luego pagó $500 por mes suscripción. Basado en transferencia de cuarzo Coinbase, que participó en la investigación, encontró que la plataforma ha alcanzado unos 1,1 millones de dólares. Hay instituciones de distribución al por mayor, construcción, finanzas, bienes raíces, educación alta y sectores de salud entre las víctimas.

¿Cómo funciona el código del dispositivo?

El arma básica de EvilTokens era el código del dispositivo. Un método de entrada legítimo diseñado para conectar dispositivos como flujo de código de dispositivo, televisión no teclado o impresora a la cuenta Microsoft. Saldurgan traduce este flujo a favor.

Según el análisis técnico publicado en The Hacker News El proceso funciona en tres pasos:

Salt: Se muestra un código de dispositivo con el correo electrónico de victimización y este código se pide que entre.

Aprobación: El código de la víctima introduce el Microsoft real, como microsoft.com/devicelogin, no un sitio falso.

Thread: El servidor de autenticación da acceso y fichas de renovación a la aplicación del atacante. Saldurgan obtiene así acceso permanente con la identidad de la víctima.

El método lo hace peligroso, no encuentra una dirección falsa en ninguna etapa de la víctima. La autenticación multifactorial (MFA) como la contraseña no es robada. Saldurgan Microsoft 365 es capaz de entrar tranquilamente como víctimas.

¿Qué roles están en la cadena de ataque de inteligencia artificial?

En el centro del servicio, había un barco de chat que analiza las cajas correspondientes. Según la descripción oficial de Microsoft El barco identificó relaciones confiables entre correos electrónicos, autorizaciones de pago y responsabilidades sensibles. Luego propone los escenarios más agarrados de la estammeridad, borradores de mensajes preparados que imitan contactos de confianza.

Microsoft resume esta situación como sigue: la inteligencia artificial no sólo escribe mensajes más convinientes. También decidió que quién tomará el objetivo, quién será imitación y cómo explotar el mayor dinero de la relación.

El lado irónico del negocio es que la plataforma misma se produce con inteligencia artificial. Los inspectores encontraron que la gran parte de EvilTokens fue desarrollada por código de impresión a la inteligencia artificial. El servicio también apareció de las capacidades de múltiples modelos de inteligencia artificial.

Eliminación de filtros éticos Etiquetas nocivos modelos de inteligencia artificial fue utilizado en el mundo del crimen por algún tiempo. La diferencia de EvilTokens es combinar estas capacidades en una interfaz lista con captura de cuenta, análisis de cajas entrantes y preparación de fraude. El trabajo que requiere experiencia independiente en ataques de identidad, sistemas de nube y fraude financiero se ha hecho accesible con una suscripción.

Microsoft Operación ¿Cómo empezar?

La Unidad de Crímenes Digitales de Microsoft para operación permitida por el Tribunal Regional Este de Virginia. Según las noticias de Axios 50 sitios web donde el servicio fue procesado y más de 150 dominios fueron discapacitados. La organización de seguridad cibernética del sector de la salud se ha unido a Health-ISAC como casero conjunto.

En el lado técnico, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation y TRM Labs apoyaron. Steven Masada, de Microsoft, explicó el terreno del sindicato como sigue:

"EvilTokens no pudo detener una sola organización. El servicio estaba reutilizando recursos como proveedores de alojamiento, servicios en la nube, herramientas de inteligencia artificial y servicios financieros." Steven Masada, Microsoft Unidad de Delitos Digitales (Ayuda Seguridad Net)

El pie físico de la operación tuvo lugar en Londres. Basado en el registro El equipo de cibercrimen de London Safetyi arrestó a dos personas con 32 y 38 años en septiembre 11, 2026. Crímenes dirigidos a dudas, producen la herramienta que se utilizará en el fraude y eludir dinero negro. Dos sospechosos fueron liberados con kefalet condicional. Microsoft cree que puede haber otras personas que apoyan el servicio en diferentes roles.

Según Microsoft, esta es la 40a operación realizada por la decisión judicial de la Unidad de Delitos Digitales en unos 20 años. La inteligencia artificial de extremo a extremo es la primera operación para un servicio criminal. La unidad tenía plataformas previamente orientadas como RaccoonO365 y RedVDS.

¿Cuáles son las diferencias entre las señales del mal y los kits clásicos?

Los kits Oltalama no son nuevos. Microsoft Abril 2026 Servicio Tycoon2FA se estrelló en 330 dominios. Pero EvilTokens también automatiza la planificación del fraude después del acceso con la parte técnica del ataque. En el cuadro siguiente se resumen las diferencias:

Las dos últimas líneas de la mesa muestran donde la amenaza está casada. La habilidad del ataque ya no es decisiva, porque incorpora habilidades al suscriptor. Hace varios días de la agenda Ataque al escáner BragJack Al dirigirse a sesiones de agentes, EvilTokens coloca inteligencia artificial al lado siguiente del atacante. Dos casos, Seguridad AI revela dos caras de discusión.

¿Qué hacen las instituciones contra los riesgos del código de dispositivos?

La infraestructura EvilTokens colapsó, pero el método no fue eliminado. Según las noticias publicadas en BleepingComputer clones como APToken del servicio aparecieron ahora. Los dos primeros pasos recomendados en las mismas noticias se pueden añadir más de dos aplicaciones en la industria:

Cerrar el flujo de código del dispositivo: Si realmente no necesita en la institución, la autenticación con el código del dispositivo debe ser deshabilitada, debe bloquearse en cualquier lugar posible.

Confirme la aplicación: Los usuarios deben comprobar qué entradas de aplicación en la pantalla introducen código. Cuando se ve una aplicación imprevista, la transacción debe ser detenida.

Mira los movimientos de Jeton: Las fichas de acceso y renovación dadas a clientes desconocidos deben ser seguidas con registros de inicio inusual.

Dividir los procesos de pago: Las instrucciones de facturación y pago deben ser confirmadas por un segundo canal fuera del correo electrónico. El objetivo principal de EvilTokens fue estos procesos.

The issue for institutions in Turkey is not only technical. Una caja correspondiente puede significar fuga de datos de clientes y empleados. En tal caso KVKK y AI Las obligaciones de responsabilidad de datos examinadas en el encabezado también se activan.

En la mesa, El Registro dijo The institutions made the following warning:

"Cuando se captura una caja entrante, el contenido de los criminales no debe entender en minutos, no en días". Steven Masada, Microsoft

Esta frase significa que los tiempos de intervención de incidentes deben ser recalculados. Si la inteligencia artificial puede resumir en minutos de una caja entrante, funciona a favor de cada atacante de hora pasando para notar la brecha.

Preguntas frecuentes

¿Qué es EvilTokens?

EvilTokens es un servicio de inteligencia artificial que apareció en febrero de 2026 y se vendió con suscripción a través de Telegram. El servicio maneja las cuentas Microsoft 365 con entrada de código de dispositivo y sugiere escenario de fraude analizando las cajas de un barco de chat. Microsoft anunció que su servicio se estrella el 22 de septiembre de 2026.

¿Cómo pasar MFA de código de dispositivo?

La etapa MFA no tiene en cuenta al atacante porque el dispositivo no ha sido robado en el código. La víctima confirma el código enviado por el atacante a la página de entrada Microsoft real y con su propia identidad. El servidor también ofrece acceso directo a la aplicación del atacante.

¿Cuántas cuentas trataron EvilTokens?

Según la descripción de Microsoft, el servicio se utilizó para abordar más de 12.000 cuentas de correo electrónico en más de 10.000 instituciones. Según la detección de Coinbase, la plataforma ha alcanzado aproximadamente 1,1 millones de dólares.

¿Están atrapados detrás de EvilTokens?

In London, 11 September 2026, 32 and 38 years old were arrested and released with kefaletle. La investigación continúa. Microsoft también afirma que puede haber otras personas que apoyan el servicio.

¿Cómo proteger a una institución de ataques con código de dispositivo?

El primer paso es cerrar la autenticación con el código del dispositivo en cualquier lugar que no sea necesario. Los usuarios deben comprobar lo que están conectados al entrar en el código, los equipos de seguridad también deben supervisar las fichas dadas a los clientes que no son reconocidos. La confirmación de las instrucciones de pago con un segundo canal fuera del email también impide la etapa de fraude.

La operación de Microsoft cerró una infraestructura, pero el modelo de crimen respaldado por inteligencia artificial que se vende con la suscripción puede no durar mucho. El surgimiento de clones como APToken muestra que el lado defensor también debe adaptarse a la misma velocidad. La pregunta que necesitas cuestionar es cuál será el próximo servicio el método de entrada legítimo en lugar del código del dispositivo.