Microsoft השביתה את EvilTokens: שירות פישינג עם צ׳טבוט AI שפרץ ל-12,000 תיבות דואר
השירות נמכר בטלגרם, גרם לקורבנות לאשר גישה לחשבון Microsoft בלי למסור סיסמה, והשתמש ב-AI כדי לאתר בתיבות הפרוצות הזדמנויות להונאות תשלום.
TL;DR בקצרה
- ב-22 בספטמבר חשפה Microsoft שהשביתה, באישור בית משפט אמריקאי, את שירות הפישינג EvilTokens: 50 אתרים נתפסו ויותר מ-150 דומיינים הושבתו.
- השירות היה קשור לפריצה ליותר מ-12,000 תיבות דואר ביותר מ-10,000 ארגונים, ונמכר תמורת 1,500 דולר דמי הצטרפות ומנוי של 500 דולר.
- הקורבנות הקלידו קוד אימות בדף ההתחברות האמיתי של Microsoft, ולכן איפוס סיסמה לבדו לא ניתק את התוקפים.
- צ׳טבוט AI מובנה סרק את המיילים הגנובים, איתר שיחות על העברות כספים וניסח הודעות התחזות.
Microsoft השביתה את EvilTokens, שירות פישינג בתשלום. היא חשפה זאת ב-22 בספטמבר. היא פעלה יחד עם ארגון Health-ISAC ושורת חברות טכנולוגיה. ל-EvilTokens היה קשר לפריצה ליותר מ-12,000 תיבות דואר ביותר מ-10,000 ארגונים. מה שמייחד את השירות הוא צ׳טבוט AI מובנה. הצ׳טבוט עזר לפושעים לסרוק את המיילים הגנובים. הוא עזר להם גם לאתר בהם הזדמנויות להונאות תשלום.
השבתת EvilTokens: תפסו 50 אתרים ועצרו שני חשודים בלונדון
בית המשפט הפדרלי במחוז המזרחי של וירג׳יניה אישר את הפעולה בצו. הפעולה כללה תפיסה של 50 אתרים שהפעילו את השירות. היא כללה גם השבתה של מעל 150 דומיינים נוספים בתשתית שלו. בין השותפים לפעולה: Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, Shadowserver ו-TRM Labs.
במקביל, יחידת פשעי הסייבר של משטרת לונדון עצרה כבר ב-11 בספטמבר שני גברים בחשד לקשר לפעילות. הגברים בני 32 ו-38. המשטרה שחררה את השניים בתנאים, והיא ממשיכה לחקור.
לפי Microsoft, EvilTokens התחיל לפעול בפברואר 2026. מפעילי השירות מכרו אותו בטלגרם תמורת דמי הצטרפות של 1,500 דולר ומנוי חוזר של 500 דולר. הפעילות הגבוהה ביותר הייתה בארה״ב, קנדה, בריטניה, אוסטרליה, הודו וצרפת. היא התרכזה בענפי הסיטונאות, הבנייה, השירותים הפיננסיים, הנדל״ן, ההשכלה הגבוהה והבריאות. זו הפעולה ה-40 של היחידה לפשיעה דיגיטלית של Microsoft באישור בית משפט. היא הראשונה נגד שירות פשיעה שבנוי מקצה לקצה סביב AI.
איך עובדת מתקפת הקוד של EvilTokens בלי לגנוב סיסמה
הטריק של EvilTokens לא דרש מהקורבן למסור סיסמה. לפי Microsoft, התוקפים שכנעו את הקורבנות להקליד קוד אימות בדף ההתחברות האמיתי של החברה. השיטה הזאת מנצלת מנגנון לגיטימי שנקרא device code flow. מטרת המנגנון לחבר לחשבון מכשירים בלי מקלדת, כמו טלוויזיה חכמה או מסך בחדר ישיבות. המכשיר מציג קוד, והמשתמש מקליד אותו בטלפון או במחשב.
כשהתוקף יוצר את הקוד, הקורבן שמקליד אותו מאשר בעצם גישה לחשבון שלו. הכתובת אמיתית והדף אמיתי, ולכן גם משתמשים זהירים נופלים. הבעיה הגדולה מגיעה אחרי הפריצה. התוקף מקבל טוקן, אסימון גישה דיגיטלי, ולא סיסמה. לכן, כפי ש-Microsoft מדגישה, איפוס סיסמה לבדו לא בהכרח מנתק אותו. כל עוד הסשנים והטוקנים של המשתמש עדיין בתוקף, הגישה לתיבה נשארת פתוחה.
כאן נכנס ה-AI. אחרי שהתוקף בפנים, הצ׳טבוט של השירות סיכם ותרגם מיילים. הוא שלף שיחות על כסף. הוא גם מיפה מי ממונה על מה בארגון ומי סומך על מי, והמליץ את מי כדאי להתחזות. פקודות מוכנות מראש חיפשו דיונים על העברות בנקאיות, חשבוניות של ספקים ו״מי שמזיזים את הכסף״. הצ׳טבוט גם ניסח הודעות בשם אנשי קשר מוכרים.
לפי החוקרים, מפתחי הפלטפורמה כתבו חלק גדול ממנה בעזרת AI. המשמעות המעשית ברורה. עבודה שפעם דרשה מהנוכל ימים של קריאת התכתבויות אפשר לסיים עכשיו בדקות, בעזרת כלי כזה.
מה זה אומר עבורכם
- חסמו את device code flow: ב-Microsoft Entra אפשר להגדיר מדיניות Conditional Access שחוסמת את המנגנון. Microsoft עצמה ממליצה לחסום אותו בכל מקום שאפשר. היא ממליצה לאפשר אותו רק במקרים מתועדים, כמו מסכים בחדרי ישיבות. התחילו במצב report-only כדי לראות מי עוד משתמש בו.
- אחרי פריצה, בטלו סשנים ולא רק סיסמה: בחשד לחשבון פרוץ, בטלו את כל הסשנים והטוקנים של המשתמש. בדקו גם אם נוספו לתיבה כללי העברה או חוקי דואר חשודים.
- אמתו שינוי בפרטי תשלום בערוץ אחר: בקשה לשנות חשבון בנק של ספק או להעביר כסף בדחיפות צריכה אישור בשיחת טלפון. התקשרו למספר שכבר יש לכם, ולא למספר שמופיע במייל.
- הדריכו את העובדים: הסבירו שאין להקליד בדף התחברות קוד שקיבלו ממישהו אחר. זה נכון גם אם הכתובת נראית אמיתית לגמרי. החריג הוא מצב שבו הם עצמם התחילו לחבר מכשיר.
- בדקו את יומני ההתחברות: ב-Entra אפשר לסנן התחברויות לפי פרוטוקול האימות. כך אפשר לאתר שימוש ב-device code שלא אמור להתקיים בארגון.
מה הלאה
השבתת התשתית לא מעלימה את לקוחות השירות. סביר שחלקם יעברו לכלים דומים. הלקח החשוב הוא השילוב. שיטת התחברות שעוקפת סיסמאות פוגשת AI שהופך כל תיבה פרוצה למפת דרכים להונאה.
Microsoft ממליצה להניח שמרגע שתוקף פרץ לתיבה, הוא מבין את התוכן שלה תוך דקות. עסקים ישראליים שעובדים עם Microsoft 365 ומעבירים תשלומים לספקים בחו״ל מתאימים בדיוק לפרופיל הזה. זה נכון גם אם ישראל לא הופיעה ברשימת המדינות שנפגעו הכי הרבה.
מקורות והרחבה
- Disrupting EvilTokens: The AI chatbot built for cybercrimeMicrosoft On the Issues
- Microsoft disrupts EvilTokens phishing service that gave criminals access to 12,000 inboxesHelp Net Security
- Authentication flows as a condition in Conditional Access policyMicrosoft Learn
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
