Comment prévenir le service d'intelligence artificielle EvilTokens?

Microsoft a annoncé l'effondrement de l'intelligence artificielle EvilTokens le 22 septembre 2026. Le service révélé en février 2026 a été utilisé pour traiter plus de 12.000 comptes de courriel dans plus de 10 000 établissements. Ce qui distingue EvilTokens des précédents, c'est que l'attaque de l'intelligence artificielle a été placée à chaque étape. Dans cet article, comment fonctionne le service, comment fonctionne l'opération et quelles mesures les institutions peuvent prendre.

Qu'est-ce que EvilTokens et combien coûte l'abonnement?

EvilTokens est sorti en février 2026 à titre de service d'abonné (phishing-as-a-service). Selon les nouvelles publiées dans SecurityWeek Ce service a été utilisé dans le domaine de plus de 10 000 comptes de courrier électronique. Ils sont principalement situés aux États-Unis, au Canada, au Royaume-Uni, en Australie, en Inde et en France. 44 thèmes différents ont été proposés aux utilisateurs pour les faux courriels et les pages de connexion.

Les ventes ont été effectuées par Telegram. 1.500$ frais d'entrée pour rejoindre le service, puis payé 500 $ par abonnement mensuel. Basé sur le transfert de quartz Coinbase, qui a participé à l'enquête, a constaté que la plateforme a atteint environ 1,1 million de dollars. Il existe parmi les victimes des institutions de distribution en gros, de construction, de financement, d'immobilier, d'enseignement supérieur et de santé.

Comment fonctionne le code de l'appareil?

L'arme de base de EvilTokens était le code de l'appareil. Méthode d'entrée légitime conçue pour connecter des appareils tels que le flux de code de périphérique, la télévision non clavier ou l'imprimante au compte Microsoft. Saldurgan traduit ce flux en faveur.

Selon l'analyse technique publiée dans The Hacker News Le processus fonctionne en trois étapes:

Sel: Un code de périphérique est affiché avec le courriel de victimisation et ce code est demandé à entrer.

Approbation: Le code de la victime entre dans le Microsoft réel, comme microsoft.com/devicelogin, pas un faux site.

Fils : Le serveur d'authentification donne accès et jetons de renouvellement à l'application de l'attaquant. Saldurgan obtient ainsi un accès permanent avec l'identité de la victime.

La méthode le rend dangereux, ne rencontre aucune fausse adresse à aucun stade de la victime. Authentification multi-facteurs (AMF) puisque le mot de passe n'est pas volé. Saldurgan Microsoft 365 est capable d'entrer tranquillement comme victimes.

Quels sont les rôles de la chaîne d'attaque de l'intelligence artificielle?

Au centre du service, il y avait un bateau de chat qui analyse les boîtes correspondantes. Selon la description officielle de Microsoft Le bateau a identifié des relations fiables entre les courriels, les autorisations de paiement et les responsabilités délicates. Puis elle propose les scénarios les plus accrocheurs de scammerity, des ébauches de message préparées qui imitent des contacts de confiance.

Microsoft résume cette situation comme suit : l'intelligence artificielle n'écrivent pas seulement des messages plus convaincants. Il a également décidé que qui prendra le but, qui sera imitation et comment exploiter le plus d'argent de la relation.

Le côté ironique de l'entreprise est que la plateforme elle-même est produite avec l'intelligence artificielle. Les inspecteurs ont constaté que la grande partie d'EvilTokens a été développée par l'impression de code à l'intelligence artificielle. Le service est également issu des capacités de plusieurs modèles d'intelligence artificielle.

Élimination éthique des filtres modèles d'intelligence artificielle nuisibles Accueil a été utilisé dans le monde du crime pendant un certain temps. La différence de EvilTokens est de combiner ces capacités dans une interface prête avec la capture de compte, l'analyse de boîte entrante et la préparation de fraude. Le travail qui nécessite une expérience distincte dans les attaques d'identité, les systèmes cloud et la fraude financière est devenu accessible avec un abonnement.

Opération Microsoft Comment démarrer?

L'unité des crimes numériques de Microsoft pour l'exploitation autorisée par le tribunal régional américain Virginia East. Selon les nouvelles d'Axios 50 sites Web où le service a été traité et plus de 150 domaines ont été désactivés. L'organisation de cybersécurité du secteur de la santé a rejoint Santé-SACC en tant que casier conjoint.

Du côté technique, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation et TRM Labs ont pris en charge. Steven Masada, de Microsoft, a expliqué le fondement du syndicat comme suit:

« EvilTokens n'a pas pu arrêter une seule organisation. Le service réutilisait des ressources comme les fournisseurs d'hébergement, les services cloud, les outils d'intelligence artificielle et les services financiers. Steven Masada, Unité des crimes numériques Microsoft (Aide à la sécurité du réseau)

Le pied physique de l'opération a eu lieu à Londres. D'après le dossier L'équipe de cybercriminalité de London Safetyi a arrêté deux personnes de 32 et 38 ans en septembre 2026. Les crimes dirigés contre les doutes, produisent l'outil à utiliser dans la fraude et contournent l'argent noir. Deux suspects ont été libérés avec un kefalet conditionnel. Microsoft pense qu'il peut y avoir d'autres personnes qui soutiennent le service dans différents rôles.

Selon Microsoft, il s'agit de la 40e opération effectuée par la décision de justice de l'Unité de la criminalité numérique en environ 20 ans. L'intelligence artificielle de bout en bout est la première opération d'un service criminel. L'unité avait déjà ciblé des plateformes telles que RaccoonO365 et RedVDS.

Quelles sont les différences entre les kits EvilTokens et les kits classiques?

Les kits Oltalama ne sont pas neufs. Microsoft Avril 2026 Le service Tycoon2FA s'est écrasé dans 330 domainesMais EvilTokens automatise également la planification de fraude après l'accès avec la partie technique de l'attaque. Les différences sont résumées dans le tableau suivant :

Les deux dernières lignes sur la table montrent où la menace est mariée. La compétence de l'attaque n'est plus décisive, car il intègre les compétences à l'abonné. Il y a quelques jours de l'agenda Scanner BragJack AI Attack En ciblant les sessions d'agent, EvilTokens place l'intelligence artificielle au côté suivant de l'agresseur. Deux affaires, Sécurité AI révèle deux visages de discussion.

Que font les institutions contre les risques liés aux codes d'instruments?

L'infrastructure de EvilTokens s'est effondrée, mais la méthode n'a pas été éliminée. Selon les nouvelles publiées dans BleepingComputer des clones comme APToken du service sont apparus maintenant. Les deux premières étapes recommandées dans la même nouvelle peuvent être ajoutées plus de deux applications dans l'industrie:

Fermer le débit du code du périphérique: S'il n'est pas vraiment nécessaire dans l'institution, l'authentification avec le code de périphérique devrait être désactivée, il devrait être bloqué partout où c'est possible.

Confirmez l'application : Les utilisateurs doivent vérifier quelles entrées d'application sur l'écran ils entrent le code. Lorsqu'une demande imprévue est vue, la transaction doit être arrêtée.

Regardez les mouvements de Jeton : Les jetons d'accès et de renouvellement donnés à des clients inconnus doivent être suivis de documents de connexion inhabituels.

Diviser les processus de paiement : Les instructions de facturation et de paiement doivent être confirmées par un deuxième canal en dehors du courriel. L'objectif principal de EvilTokens était ces processus.

La question des institutions en Turquie n'est pas seulement technique. Une case correspondante peut signifier une fuite des données des clients et des employés. Dans un tel cas KVKK et AI Les obligations de responsabilité en matière de données discutées dans l'en-tête sont également activées.

Dans le tableau, Le registre dit Les institutions ont fait l'avertissement suivant:

"Quand une boîte entrante est capturée, le contenu des criminels ne devrait pas comprendre en quelques minutes, pas en quelques jours." Steven Masada, Microsoft

Cette phrase signifie que les temps d'intervention en cas d'incident doivent être recalculés. Si l'intelligence artificielle peut se résumer en minutes d'une boîte entrante, cela fonctionne en faveur de chaque agresseur heure passant pour remarquer la brèche.

Foire aux questions

Qu'est-ce qu'EvilTokens?

EvilTokens est un service de soutien à l'intelligence artificielle qui est apparu en février 2026 et vendu avec abonnement via Telegram. Le service gère les comptes Microsoft 365 avec entrée de code de périphérique et suggère un scénario de fraude en analysant les boîtes d'un bateau de chat. Microsoft a annoncé ses pannes de service le 22 septembre 2026.

Comment contourner MFA de code de périphérique?

L'étape MFA ne prend pas en compte l'attaquant parce que l'appareil n'a pas été volé dans le code. La victime confirme le code envoyé par l'agresseur dans la page d'entrée Microsoft et avec sa propre identité. Le serveur fournit également des jetons d'accès directement à l'application de l'attaquant.

Combien de comptes EvilTokens a-t-il eus ?

Selon la description de Microsoft, le service a été utilisé pour traiter plus de 12 000 comptes de courriel dans plus de 10 000 établissements. Selon la détection de Coinbase, la plateforme a atteint environ 1.1 millions de dollars.

Sont-ils pris derrière EvilTokens ?

À Londres, le 11 septembre 2026, 32 et 38 ans ont été arrêtés et libérés avec kefaletle. L'enquête se poursuit. Microsoft déclare également qu'il peut y avoir d'autres personnes qui soutiennent le service.

Comment protéger une institution contre les attaques de code de périphérique?

La première étape consiste à fermer l'authentification avec le code de périphérique n'importe où qui n'est pas nécessaire. Les utilisateurs devraient vérifier à quoi ils sont connectés lors de l'entrée du code, les équipes de sécurité devraient également surveiller les jetons donnés aux clients qui ne sont pas reconnus. La confirmation des instructions de paiement avec un deuxième canal en dehors du courriel empêche également l'étape de la fraude.

Le fonctionnement de Microsoft a fermé une infrastructure, mais le modèle de criminalité financé par l'intelligence artificielle qui est vendu avec l'abonnement ne peut pas durer longtemps. L'émergence de clones comme APToken montre que le côté de défense doit aussi s'adapter à la même vitesse. La question que vous devez vous poser est de savoir quel sera le prochain service qui ciblera la méthode d'entrée légitime au lieu du code de périphérique.