Microsoft leállított egy AI-alapú adathalász-hálózatot

A Microsoft 50 weboldalt foglalt le és több mint 150 további domaint kapcsolt ki az akcióban. Nagy-Britanniában két feltételezett üzemeltető ellen vádat emeltek. Az EvilTokens kezdeti regisztrációért 1500 amerikai dollárt, majd havi 500 dollárt kért a felhasználóktól. A platform a Microsoft »Device Code Authentication« nevű hitelesítési módszerének egy biztonsági résén keresztül működött: az áldozatok adathalász-e-mailekben kaptak linkeket manipulált oldalakra, ahol egy kódot generáltak, amelyet az igazi Microsoft-bejelentkezési oldalon kellett megadniuk — így a támadók még a kétfaktoros hitelesítés mellett is hozzáfértek a fiókokhoz.

A rendszer AI-chatbotot használt a feltört postafiók-tartalmak automatikus elemzésére, hogy azonosítsa a fizetési jogosultságokkal rendelkező alkalmazottakat, valamint érzékeny információkat és üzleti levelezést. Az így gyűjtött adatok alapján a platform becsapó e-maileket generált, amelyeket kollégáknak vagy üzleti partnereknek lehetett küldeni. A Microsoft szerint az olyan feladatok, amelyek korábban napokat igényeltek, a rendszer néhány óra alatt elvégezte. A támadások elsősorban az Egyesült Államokat, Kanadát, Nagy-Britanniát, Ausztráliát, Indiát és Franciaországot érintették, célpontjai között építőipari cégek, pénzügyi szolgáltatók, ingatlanfirmák, egyetemek és egészségügyi intézmények voltak.

A Coinbase által nyomon követett pénzáramlások szerint a támadók október 2025 és június 2026 között körülbelül 1,1 millió amerikai dollárt szereztek. A Microsoft azt ajánlja a szervezeteknek, hogy a »Device Code Authentication« funkciót csak szükség esetén engedélyezzék, és a fizetési utasításokat mindig egy független csatornán keresztül ellenőrizzék. Az akcióban a Cloudflare, az OpenAI, a SpyCloud és további partnerek is közreműködtek.