Microsoft ugasio EvilTokens, AI servis koji je pomagao hakerima da izaberu žrtve

Vesti, 23.09.2026, 13:00 PM

Microsoft je preuzeo i ugasio deo infrastrukture phishing platforme EvilTokens koja je od februara ove godine povezana sa kompromitovanjem više od 12.000 email naloga u preko 10.000 organizacija širom sveta. EvilTokens je koristio veštačku inteligenciju ne samo za pravljenje phishing poruka, već i za analizu ukradenih mejlova, pronalaženje ljudi koji raspolažu novcem i izbor osoba koje bi napadači mogli da imitiraju kako bi izveli finansijsku prevaru.

EvilTokens se pojavio u februaru kao phishing-as-a-service platforma koja je kriminalcima omogućavala krađu pristupa Microsoft nalozima. Pristup servisu prodavan je preko Telegrama za 1.500 dolara, uz mesečnu pretplatu od 500 dolara. Korisnicima je na raspolaganju bilo 44 različita phishing šablona, uključujući lažna obaveštenja o isteku lozinke, fakture, ponude i dokumente za potpisivanje.

Posebnost EvilTokensa bio je AI asistent koji se koristio nakon što napadači dobiju pristup nečijem email nalogu. Umesto da sami prolaze kroz hiljade poruka, mogli su da prepuste AI-ju da ih analizira i pronađe razgovore o bankarskim transferima, neplaćene fakture i prepisku rukovodilaca. Sistem je mogao da prepozna ko u kompaniji ima finansijska ovlašćenja, ko sa kim komunicira i koje odnose bi napadač mogao da iskoristi.

AI je zatim mogao da predloži koga treba napasti, koga imitirati i kakvu poruku poslati. Tako nije služio samo za pisanje uverljivijeg phishing mejla, već je automatizovao deo posla koji je ranije zahtevao da napadač proučava organizaciju i njenu internu komunikaciju kako bi pronašao dobru priliku za prevaru.

EvilTokens je za početni pristup koristio takozvani device code phishing. Žrtva bi dobila kod i bila upućena na pravu Microsoftovu stranicu za prijavljivanje, gde bi unela kod i prošla kroz uobičajenu autentifikaciju. Međutim, kod je zapravo pripadao sesiji koju je pokrenuo napadač, pa bi žrtva svojim prijavljivanjem nesvesno odobrila pristup svom nalogu. Na taj način napadač nije morao da ukrade lozinku, a ova tehnika može da zaobiđe i određene oblike višefaktorske autentifikacije.

Kada bi jednom dobili pristup, napadači su mogli da čitaju email poruke, šalju nove poruke sa kompromitovanog naloga i nastave napad na kolege i poslovne kontakte žrtve. Microsoft je zabeležio i slučajeve u kojima su kreirana pravila za inbox kako bi određene poruke bile skrivene od vlasnika naloga.

Microsoftova Digital Crimes Unit je, zajedno sa partnerima, preuzela 50 sajtova korišćenih za EvilTokens i ugasila više od 150 dodatnih domena povezanih sa njegovom infrastrukturom. U Velikoj Britaniji uhapšena su dvojica muškaraca osumnjičenih za povezanost sa platformom. Ipak, to ne znači da je EvilTokens trajno ugašen.

EvilTokens pokazuje kako AI može da ubrza poslovne email prevare. Kada napadač dobije pristup inboxu, više ne mora danima da proučava prepisku kako bi otkrio ko odobrava plaćanja, kome zaposleni veruju i koga bi trebalo imitirati. AI može da analizira te odnose i izdvoji upravo informacije koje su napadaču potrebne za sledeći korak.