L’interruzione di Microsoft EvilTokens espone una pipeline di frodi guidata dall’IA
Microsoft ha interrotto EvilTokens dopo che il servizio aveva compromesso più di 12.000 caselle email in oltre 10.000 organizzazioni nel mondo. L’operazione Microsoft EvilTokens ha colpito l’infrastruttura che supportava un sistema preconfezionato per phishing, accesso agli account, analisi delle caselle di posta e frodi finanziarie.
L’operazione è rilevante perché EvilTokens non si limitava ad aiutare i criminali a scrivere messaggi persuasivi. Il suo assistente IA esaminava le caselle di posta rubate, mappava le relazioni aziendali, identificava le autorità di pagamento e consigliava le persone da impersonare.
Questa capacità ha compresso un lavoro che un tempo richiedeva pazienza e conoscenze specialistiche. Tuttavia, disabilitare l’infrastruttura non elimina la tecnica alla base. Il phishing tramite device code resta disponibile, le sessioni rubate possono sopravvivere alla reimpostazione delle password e servizi correlati possono replicare il modello operativo.
L’interruzione di Microsoft EvilTokens ha colpito una piattaforma di frodi full-service
Microsoft e i suoi partner hanno colpito l’infrastruttura che collega il phishing iniziale all’inganno finanziario mirato.
Microsoft ha annunciato l’azione coordinata il 22 settembre 2026. La sua Digital Crimes Unit ha ottenuto l’autorizzazione del tribunale per sequestrare l’infrastruttura attiva e reindirizzare i domini associati al servizio.
L’azione ha coinvolto Health-ISAC, aziende tecnologiche, investigatori finanziari, ricercatori di sicurezza e forze dell’ordine. Cloudflare ha disabilitato separatamente progetti Workers e account che supportavano le campagne EvilTokens.
Secondo i documenti giudiziari, Microsoft e Health-ISAC hanno presentato il caso presso l’Eastern District of Virginia. I convenuti nominati sono Felix Utomi, Waidi Segun Adams e diverse persone non identificate.
Microsoft ha attribuito lo sviluppo e il supporto di EvilTokens a un attore della minaccia che monitora con il nome Storm-2992. In questo contesto, l’attribuzione rappresenta la valutazione di Microsoft, non una condanna penale.
L’operazione avrebbe sequestrato 50 siti web e disabilitato oltre 150 domini aggiuntivi. Secondo fonti indipendenti, la polizia britannica ha inoltre arrestato due uomini in relazione a EvilTokens.
Gli uomini sono stati rilasciati su cauzione condizionata mentre l’indagine proseguiva. I loro arresti non devono essere considerati come accertamenti di colpevolezza.
Cloudflare ha dichiarato che l’operazione coordinata sull’infrastruttura è iniziata il 15 settembre. L’azienda ha identificato centinaia di account clienti collegati ad attività EvilTokens e ha disabilitato i progetti di supporto.
Questo approccio combinato, legale e tecnico, era necessario perché EvilTokens dipendeva da servizi gestiti da fornitori non correlati. La sua infrastruttura attraversava piattaforme di hosting, registrar di domini, servizi di comunicazione, sistemi di pagamento e reti cloud.
EvilTokens è emerso all’inizio del 2026 e ha rapidamente guadagnato adozione tra gli aggressori motivati finanziariamente. Microsoft lo ha collegato a più di 12.000 caselle di posta compromesse in oltre 10.000 organizzazioni nel giro di pochi mesi.
Le più alte concentrazioni di attività delle vittime osservate sono apparse negli Stati Uniti, in Canada, Gran Bretagna, Australia, India e Francia. I settori coinvolti includevano edilizia, finanza, sanità, immobiliare, distribuzione all’ingrosso e istruzione superiore.
Queste cifre descrivono attività osservate, non un censimento completo. Alcuni account compromessi potrebbero restare sconosciuti, mentre una singola organizzazione può contenere diverse caselle di posta coinvolte.
L’attenzione alle imprese era insolitamente marcata. I dati SpyCloud citati dai giornalisti di sicurezza classificavano circa il 97,5 percento degli account identificati come appartenenti a domini aziendali.
EvilTokens ha inoltre generato proventi consistenti. Secondo quanto riferito, Coinbase ha tracciato circa 1,1 milioni di dollari di ricavi legati all’operazione mentre contribuiva alle indagini.
Questi numeri spiegano la portata, ma non colgono il cambiamento centrale. EvilTokens ha collegato diversi compiti criminali precedentemente separati attraverso un’unica interfaccia gestita.
Gli abbonati ricevevano strumenti per campagne, modelli di phishing, gestione dei token, monitoraggio delle vittime, ricerche nelle caselle di posta e indicazioni post-compromissione. Canali di supporto e dashboard amministrative facevano apparire l’operazione simile a un servizio software commerciale.
La distinzione è importante per i difensori. Rimuovere un dominio dannoso può interrompere una campagna, ma non smantella un modello di servizio trasferibile.
Microsoft ha descritto l’azione come un’interruzione, non come prova che ogni operatore, abbonato e sistema correlato fosse scomparso. I team di sicurezza dovrebbero quindi aspettarsi una riduzione dell’attività, non un’eliminazione permanente.
Come EvilTokens ha trasformato un accesso legittimo in accesso all’account
EvilTokens ha sfruttato la fiducia degli utenti nella vera pagina di autenticazione Microsoft invece di affidarsi soltanto a un modulo di accesso contraffatto.
La piattaforma era incentrata sul phishing tramite device code. Questa tecnica abusa di un flusso di autenticazione OAuth concepito per dispositivi privi di tastiere pratiche o browser completi.
Smart TV, stampanti, apparecchiature per conferenze e alcuni dispositivi Teams possono utilizzare questo processo. Un dispositivo visualizza un breve codice, mentre l’utente completa l’autenticazione su un altro schermo.
In un flusso dannoso, l’aggressore avvia la richiesta e invia il suo codice al bersaglio. Un messaggio ingannevole persuade quella persona a inserire il codice tramite la pagina legittima di accesso ai dispositivi di Microsoft.
La vittima può visualizzare un dominio Microsoft valido e completare la normale autenticazione multifattore. Tuttavia, tale approvazione autorizza la sessione in attesa dell’aggressore, anziché l’attività che la vittima si aspettava.
Nessuna password deve passare attraverso un sito web contraffatto. Questa caratteristica indebolisce i consigli consueti incentrati sul controllo di un dominio o sul rifiuto di inserire credenziali in pagine sospette.
Il pannello EvilTokens aiutava gli abbonati a integrare questo processo in esche realistiche. Microsoft ha identificato 44 temi che includevano fatture, file condivisi, richieste di firma, avvisi sulle password, benefit, proposte e partnership commerciali.
Le campagne utilizzavano link, documenti PDF, allegati HTML, reindirizzamenti e pagine di verifica imitate. Il servizio usava inoltre piattaforme cloud legittime e siti web compromessi per rendere l’infrastruttura più difficile da classificare.
Una volta che una vittima approvava il codice, EvilTokens acquisiva un token di autenticazione. Un token è un artefatto digitale che consente a una sessione autorizzata di accedere a servizi specifici senza ripetere la password.
I token rubati potevano fornire accesso alle email e alle risorse Microsoft 365 correlate. Gli operatori potevano inoltre aggiornare i token, ispezionare i privilegi amministrativi e ricevere avvisi Telegram sulle parole chiave nelle caselle di posta.
Microsoft ha osservato casi in cui gli aggressori creavano regole dannose nella posta in arrivo per nascondere i messaggi. In alcuni incidenti, hanno registrato dispositivi per stabilire un accesso più duraturo poco dopo la compromissione iniziale.
Questa persistenza modifica la risposta agli incidenti. Reimpostare una password non interrompe necessariamente una sessione già autorizzata né rimuove un dispositivo registrato.
I difensori devono revocare le sessioni e aggiornare i token, ispezionare i record di autenticazione, rimuovere i dispositivi non autorizzati ed esaminare le regole della casella di posta. Altrimenti, l’aggressore potrebbe mantenere l’accesso dopo che la credenziale visibile è stata modificata.
L’analisi tecnica raccomanda di bloccare l’autenticazione tramite device code quando un’organizzazione non ne ha bisogno. Le eccezioni necessarie dovrebbero essere limitate a account specifici e dispositivi approvati.
Le organizzazioni devono inoltre monitorare richieste inattese di device code e accessi rischiosi. Gli utenti dovrebbero rifiutare codici associati a processi di autenticazione che non hanno avviato personalmente.
L’autenticazione resistente al phishing, incluse passkey e chiavi di sicurezza FIDO2, può rafforzare la protezione. Tuttavia, un’autenticazione più robusta da sola non può risolvere ogni percorso di ingegneria sociale quando gli utenti vengono indotti ad approvare una richiesta valida.
Questa limitazione rappresenta il compromesso di sicurezza più profondo. L’autenticazione tramite device code supporta hardware con interfacce limitate, ma il suo processo di approvazione separato indebolisce il collegamento tra l’intento dell’utente e la sessione richiedente.
Gli aggressori non hanno violato la crittografia Microsoft né calcolato la password di una vittima. Hanno manipolato un meccanismo di autorizzazione legittimo fino a quando la vittima non ha concesso l’accesso.
La lezione va oltre una singola piattaforma. Qualsiasi flusso di sicurezza che separa una richiesta dalla sua approvazione necessita di un contesto chiaro e di rigorosi controlli delle policy.
Gli utenti devono comprendere cosa stanno autorizzando, quale applicazione ha richiesto l’accesso e dove opererà la sessione risultante. Le richieste di approvazione generiche creano spazio per l’inganno.
EvilTokens ha reso questo inganno ripetibile. Il suo contributo non è stato inventare il phishing tramite device code, bensì confezionarlo per un utilizzo più ampio e rapido.
L’IA è passata dalla scrittura delle esche alla scelta dei bersagli di frode
La capacità che ha definito EvilTokens è emersa dopo la compromissione dell’account, quando l’IA ha trasformato una casella di posta sconosciuta in un piano pratico di frode.
L’IA generativa viene spesso associata a email di phishing curate. EvilTokens l’ha applicata a un problema più prezioso: comprendere l’organizzazione di una vittima dopo aver ottenuto l’accesso.
Una casella di posta compromessa può contenere anni di conversazioni, allegati, fatture, approvazioni, nomi e relazioni gerarchiche. Queste informazioni sono preziose, ma esaminarle manualmente richiede tempo e capacità di giudizio.
EvilTokens ha automatizzato gran parte di questo lavoro. I suoi strumenti potevano riassumere e tradurre messaggi, identificare discussioni finanziarie, mappare i ruoli organizzativi e far emergere relazioni esterne fidate.
Secondo quanto riferito, ricerche preimpostate individuavano conversazioni su bonifici, fatture, responsabilità di pagamento e dipendenti in grado di autorizzare transazioni. Microsoft ha affermato che l’assistente poteva anche raccomandare chi un aggressore avrebbe dovuto impersonare.
La piattaforma aiutava quindi a generare messaggi coerenti con il contesto rubato. Una richiesta fraudolenta poteva fare riferimento a un progetto, un fornitore, un responsabile, una fattura o una conversazione in corso reali.
Questo processo supporta la compromissione delle email aziendali, o BEC. In un attacco BEC, i criminali impersonano partecipanti fidati per reindirizzare pagamenti o indurre altre azioni di valore finanziario.
Il BEC tradizionale dipende spesso da operatori esperti. Devono studiare i modelli di comunicazione, riconoscere l’autorità, attendere una transazione utile e costruire un intervento plausibile.
EvilTokens ha ridotto questo onere investigativo. Secondo le notizie sull’operazione, attività che potrebbero richiedere diversi giorni potevano essere condensate in ore.
Questa compressione conta più di un miglioramento marginale della grammatica. Un’email di phishing generica ben scritta deve comunque raggiungere la persona giusta nel momento giusto.
L’analisi della casella di posta fornisce all’aggressore tempistiche, contesto e conoscenza dell’organizzazione. L’IA può trasformare questi dettagli sparsi in un elenco classificato di opportunità promettenti.
La tecnologia ha aiutato anche gli abbonati meno esperti. Un nuovo operatore non doveva possedere conoscenze approfondite di sistemi di identità, ingegneria sociale, ricognizione email e frodi nei pagamenti.
EvilTokens ha combinato queste specializzazioni in un flusso di lavoro guidato. Il suo chatbot agiva meno come assistente di scrittura e più come analista che consigliava il passo successivo dell’aggressore.
Microsoft ha inoltre trovato prove che ampie porzioni della piattaforma stessa fossero state create con programmazione assistita dall’IA. Questa conclusione suggerisce che l’IA abbia ridotto le barriere sia per gli sviluppatori della piattaforma sia per i clienti.
La scoperta non significa che l’AI abbia creato o gestito autonomamente il servizio. Sono stati comunque esseri umani a costruire l’attività, selezionare i bersagli, gestire l’infrastruttura e agire sulle raccomandazioni del sistema.
Non dimostra nemmeno che un unico specifico modello commerciale abbia fornito tutte le capacità AI. Microsoft ha affermato che gli investigatori hanno osservato l’uso di più modelli AI.
Le prove pubbliche supportano quindi una conclusione più circoscritta. Gli strumenti AI esistenti hanno aiutato i criminali a sviluppare software e interpretare le informazioni rubate in modo più efficiente.
Ciò rappresenta un cambiamento significativo nell’economia criminale. Un triage più rapido delle caselle di posta consente a un singolo operatore di esaminare più vittime senza aumentare proporzionalmente personale o competenze.
La scala migliora anche la selezione. Gli aggressori possono abbandonare prima le opportunità meno promettenti e concentrarsi sugli account collegati al controllo dei pagamenti, a fornitori fidati o a dirigenti senior.
L’interruzione di EvilTokens da parte di Microsoft ha preso di mira questo livello di conversione tra accesso non autorizzato e monetizzazione. È questo livello a spiegare perché il servizio abbia attirato attenzione oltre la normale infrastruttura di phishing.
Una casella di posta rubata è già dannosa di per sé. Un sistema che spiega rapidamente come sfruttarla può aumentare sia la velocità sia il valore atteso dell’intrusione.
Questo modello metterà sotto pressione i team di identity, i fornitori di sicurezza email e le aziende AI. Ciascuno controlla soltanto una parte di una catena d’attacco che attraversa diversi servizi indipendenti.
I fornitori AI possono sospendere gli account abusivi, ma gli aggressori possono cambiare modello. Le piattaforme di hosting possono rimuovere l’infrastruttura, ma gli operatori possono spostarsi tra fornitori.
I fornitori di identity possono bloccare sessioni sospette, ma le funzionalità di autenticazione legittime devono continuare a servire dispositivi reali. I difensori devono coordinarsi oltre questi confini più velocemente di quanto i criminali riescano a ricostruirsi.
Perché il takedown di EvilTokens non pone fine al phishing con device code
L’operazione ha rimosso infrastrutture importanti, ma la debolezza di autenticazione sottostante e la domanda criminale restano intatte.
Le segnalazioni di sicurezza hanno già identificato APToken come un servizio correlato o derivato. La sua comparsa illustra come gli affiliati possano riprodurre un progetto di phishing-as-a-service di successo.
L’esatta relazione tra tali cloni e Storm-2992 rimane incerta. Caratteristiche simili non dimostrano una proprietà comune o un’infrastruttura condivisa.
Tuttavia, il rischio di copia è evidente. EvilTokens ha dimostrato la domanda di un prodotto integrato che unisce furto di token, analisi delle caselle di posta e preparazione alle frodi.
I suoi operatori hanno inoltre distribuito conoscenze tramite assistenza clienti, tutorial, interfacce e relazioni con partner. Disabilitare i server non può cancellare le competenze già acquisite dagli abbonati.
Ecco perché la parola “interruzione” è importante. Microsoft e i suoi partner hanno compromesso le operazioni correnti, raccolto intelligence, aumentato i costi operativi e sostenuto indagini in corso.
Questi risultati possono ridurre il volume immediato degli attacchi. Non garantiscono che ogni cliente abbia perso l’accesso, che ogni token rubato sia stato revocato o che ogni vittima abbia ricevuto una notifica.
Il caso legale potrebbe rivelare di più sull’organizzazione della piattaforma e sulla sua rete finanziaria. Le indagini delle forze dell’ordine potrebbero anche portare a ulteriori arresti, accuse o sequestri.
Fino ad allora, diverse affermazioni centrali dipendono principalmente dalla telemetria di Microsoft e delle aziende partecipanti. Il loro accesso offre una preziosa visibilità, ma nessun fornitore osserva l’intero mercato criminale.
Anche il totale delle vittime può cambiare man mano che i partner correlano i dati. Le 12.000 caselle di posta riportate rappresentano un minimo documentato, legato alle osservazioni attuali.
Misurare la perdita finanziaria diretta presenta un problema ancora più difficile. Non tutte le caselle di posta compromesse hanno prodotto una frode di pagamento riuscita, mentre alcune organizzazioni potrebbero evitare la divulgazione pubblica.
Anche il ruolo dell’AI richiede precisione. EvilTokens ha usato l’AI per lo sviluppo software, la creazione di esche, la traduzione, l’analisi delle caselle di posta e le raccomandazioni sui bersagli.
Tuttavia, le segnalazioni pubbliche non quantificano con quale frequenza tali funzionalità abbiano prodotto frodi riuscite. Non confrontano neppure i tassi di successo con campagne prive di supporto AI.
Le prove mostrano un’integrazione operativa, non un test controllato dell’efficacia. Sostenere che l’AI da sola abbia causato la scala della piattaforma andrebbe quindi oltre i dati disponibili.
EvilTokens ha beneficiato di varie capacità non basate sull’AI. Tra queste figuravano persistenza dei token, infrastruttura automatizzata, modelli riutilizzabili, reindirizzamenti evasivi e accesso a servizi cloud legittimi.
La sua popolarità probabilmente rifletteva quel pacchetto completo. L’AI ha reso più rapide alcune parti del flusso di lavoro, ma il servizio circostante ha trasformato tali capacità in operazioni ripetibili.
I difensori dovrebbero evitare di rispondere soltanto con un altro prodotto AI. I controlli immediati restano policy di identity, visibilità delle sessioni, verifica degli utenti, intelligence sull’infrastruttura e risposta coordinata agli incidenti.
Le organizzazioni che non richiedono l’autenticazione tramite device code possono disabilitarla. Quelle che necessitano della funzionalità possono limitarla tramite Conditional Access e account di risorsa dedicati.
I team di sicurezza dovrebbero inoltre cercare registrazioni di dispositivi inattese, attività di refresh dei token, modifiche alle regole della casella di posta, accessi Graph insoliti e approvazioni di applicazioni sconosciute.
La guida di Microsoft sul device code fornisce un percorso di policy per limitare il flusso di autenticazione. L’implementazione richiede comunque test con apparecchiature e processi aziendali legittimi.
Le difese email devono tenere conto dei messaggi che conducono gli utenti verso domini autentici. Una destinazione affidabile non può compensare una richiesta fraudolenta o un contesto fuorviante.
La formazione dovrebbe quindi enfatizzare l’avvio e l’intento. Gli utenti dovrebbero inserire un device code solo quando hanno avviato il corrispondente accesso su un dispositivo noto.
Le organizzazioni necessitano inoltre di procedure rapide per sospetti furti di token. Gli help desk devono sapere che il solo ripristino della password può lasciare attiva la sessione ostile.
La documentazione è importante durante questi incidenti, poiché i team di identity, email, legale, finanza e dirigenza spesso necessitano delle stesse prove. Una base di conoscenza tecnica ricercabile può conservare decisioni, indicatori e responsabilità per la remediation.
Questa disciplina operativa aiuta a colmare il divario sfruttato da EvilTokens. I criminali hanno usato l’automazione per coordinare il proprio lato, mentre molti difensori continuano a dividere le prove tra sistemi scollegati.
Cosa succede dopo l’interruzione di EvilTokens da parte di Microsoft
Tre segnali mostreranno se questa operazione ha prodotto una pressione duratura o soltanto un calo temporaneo delle campagne.
Il primo segnale è l’attività misurabile di EvilTokens dopo l’azione sull’infrastruttura. I fornitori di sicurezza dovrebbero monitorare una riduzione del phishing tramite device code, cambiamenti nei domini e la migrazione verso altri servizi cloud.
Un declino sostenuto indicherebbe che i sequestri dei domini e il coordinamento tra fornitori hanno danneggiato più di un livello di campagna sacrificabile. Un rapido ritorno suggerirebbe che gli operatori abbiano mantenuto clienti, strumenti e infrastrutture alternative.
La valutazione della minaccia di Cloudflare offre indicatori utili e descrive il takedown coordinato. I futuri aggiornamenti dei fornitori partecipanti potranno mostrare se l’infrastruttura correlata riappare.
Il secondo segnale è l’adozione da parte di cloni e concorrenti. APToken e servizi simili meritano attenzione perché possono preservare il modello commerciale senza riutilizzare il marchio EvilTokens.
I ricercatori dovrebbero confrontarne metodi di autenticazione, funzioni di analisi delle caselle di posta, reti di supporto e infrastruttura. Codice o operatori condivisi rafforzerebbero l’ipotesi di continuità.
L’adozione dello stesso design da parte di servizi indipendenti indicherebbe un cambiamento più ampio del mercato. Mostrerebbe che l’analisi post-compromissione guidata dall’AI è diventata una funzionalità standard dei prodotti criminali.
Il terzo segnale è l’esito legale e investigativo. Il caso civile di Microsoft identifica i presunti operatori, mentre le autorità britanniche proseguono la loro indagine separata.
Ulteriori atti processuali potrebbero chiarire proprietà, flussi di ricavi, relazioni con i clienti e controllo dell’infrastruttura. Accuse penali o sequestri finanziari aumenterebbero la pressione sia sugli operatori sia sugli acquirenti del servizio.
Un risultato debole sul piano dell’applicazione della legge non invaliderebbe l’interruzione tecnica. Tuttavia, potrebbe limitare la deterrenza se gli operatori sostitutivi ritengono che il rischio legale resti gestibile.
I difensori dovrebbero monitorare anche la risposta di prodotto di Microsoft. EvilTokens ha abusato di un flusso di lavoro legittimo, anziché di una vulnerabilità software risolvibile con una semplice patch.
Microsoft può migliorare prompt, rilevamento, controlli sui token e visibilità per gli amministratori. Deve però preservare l’autenticazione tramite device code per le apparecchiature supportate e gli scenari di accesso accessibile.
Questo equilibrio rende particolarmente importanti le impostazioni predefinite delle policy. Impostazioni sicure predefinite possono ridurre l’esposizione senza richiedere a ogni organizzazione di comprendere una tecnica specializzata di abuso OAuth.
I fornitori cloud e di identity affrontano una questione di progettazione più ampia. Le schermate di approvazione devono comunicare quale dispositivo, applicazione e sessione riceveranno l’accesso.
Gli utenti necessitano inoltre di un avviso chiaro quando il contesto richiedente differisce dal loro dispositivo attuale. Un contesto migliore può rendere una pagina di accesso legittima meno utile come prova sociale per gli aggressori.
Le aziende AI hanno un altro ruolo. Il rilevamento degli abusi può identificare account che analizzano ripetutamente corrispondenza rubata, generano messaggi di impersonificazione o automatizzano flussi di lavoro criminali noti.
Questi controlli non fermeranno i modelli gestiti al di fuori delle principali piattaforme. Possono comunque aumentare i costi e contribuire con prove quando i criminali fanno affidamento su servizi commerciali.
La competizione più ampia contrappone l’automazione criminale confezionata a una difesa coordinata. EvilTokens ha avuto successo perché ha unito abuso dell’identità, infrastruttura cloud, analisi AI e competenze nelle frodi.
La risposta ha usato un modello altrettanto connesso. Microsoft ha combinato autorità giudiziaria, threat intelligence, applicazione delle policy di piattaforma, tracciamento finanziario e cooperazione con le forze dell’ordine.
Questa simmetria è la lezione centrale dell’interruzione di EvilTokens da parte di Microsoft. Nessun singolo prodotto di sicurezza può affrontare una catena d’attacco costruita su diversi sistemi legittimi.
Le organizzazioni dovrebbero iniziare verificando se l’autenticazione tramite device code sia necessaria, quindi riesaminare policy, procedure di revoca delle sessioni e copertura del monitoraggio. Dovrebbero anche testare quanto rapidamente i team finanziari riescano a convalidare richieste di pagamento insolite.
Il prossimo servizio malevolo potrebbe usare un altro nome, modello o fornitore di hosting. La domanda importante è se i difensori siano in grado di riconoscere il flusso di lavoro prima che una comunicazione rubata diventi un piano di frode convincente.
