מיקרוסופט הודיעה על השבתת EvilTokens, פלטפורמת פישינג מסחרית מבוססת בינה מלאכותית שאפשרה לתוקפים לבצע השתלטות על חשבונות ותרמיות דוא"ל עסקי (BEC) כשירות. הפעולה כללה צו בית משפט אמריקאי, מעצרים בבריטניה, ותפיסת עשרות אתרים ומאות דומיינים — ומדגימה שיטת תקיפה שמדלגת על סיסמאות לגמרי.
הפרטים
EvilTokens עלתה לראשונה בטלגרם בפברואר 2026, ושילבה השתלטות על חשבונות, ניתוח תיבות דואר בעזרת בינה מלאכותית וכלי הונאה בשירות מסחרי אחד. השיטה מנצלת את תהליך OAuth 2.0 Device Authorization: הקורבן מקבל מייל עם קישור או קובץ מצורף, ומונחה להזין קוד מכשיר בכתובת microsoft.com/devicelogin הלגיטימית. ברגע שהקוד מוזן, התוקף מקבל הרשאת גישה מלאה לתיבת הדואר — בלי לגנוב סיסמה בכלל — ולאחר מכן קובע כללי תיבה זדוניים כדי להסתיר את פעילותו ולשמר גישה גם דרך רישום מכשירים חדשים.
לפי מיקרוסופט, השירות פגע ביותר מ-12,000 תיבות דואר ב-10,000 ארגונים ברחבי העולם, בעיקר בארה"ב, קנדה, בריטניה, אוסטרליה, הודו וצרפת, במגזרי הפצה, בנייה, פיננסים, נדל"ן, השכלה גבוהה ובריאות. מיקרוסופט פעלה מול בית המשפט הפדרלי במחוז מזרח וירג'יניה לקבלת אישור להשבתה, ומשטרת המטרופולין הבריטית עצרה שני חשודים ב-11 בספטמבר. יחד עם שותפים, מיקרוסופט תפסה כ-50 אתרים והשביתה למעלה מ-150 דומיינים נוספים, ו-Coinbase איתרה כ-1.1 מיליון דולר בהכנסות שעברו בכתובות מטבעות קריפטוגרפיים.
נקודות לשים לב
- אם חשבון ארגוני נחשד כמותקף בשיטה הזו — איפוס סיסמה בלבד לא מספיק; יש לבטל באופן מפורש את הטוקנים והסשנים הפעילים, אחרת התוקף שומר על גישה.
- בדקו כללי תיבת דואר חריגים (העברה אוטומטית, מחיקה, הסתרה) בחשבונות Microsoft 365 — זה הסימן המרכזי שהשאירה השיטה הזו אצל קורבנות.
- עקבו אחרי רישומי מכשירים חדשים ובלתי מוכרים במערכת ניהול הזהויות שלכם, גם אם הכניסה עצמה נראית תקינה.
- הדריכו משתמשים לחשוד בהודעות שמנחות אותם להזין "קוד מכשיר" באתר התחברות, גם כשהאתר עצמו אמיתי — זו בדיוק הטכניקה שמנצלת את האמון בדף ההתחברות הרשמי.
- המסקנה הרחבה: תפיסת דומיינים ומעצרים מדלדלים תשתית תקיפה קיימת, אבל לא מונעים הופעת שירותי פישינג-כשירות דומים — הביטחון האמיתי מגיע מבקרות פנימיות (ביטול טוקנים, ניטור כללי תיבה) ולא מהיעלמות השירות התוקף.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
