微软捣毁AI钓鱼平台EvilTokens 涉1.2万账户

【时间】2026年9月22日（美国东部时间），微软数字犯罪部门（Digital Crimes Unit，DCU）联合Health-ISAC、Cloudflare、Coinbase、OpenAI、Railway、SpyCloud、Shadowserver Foundation、TRM Labs等8家机构宣布，已成功瓦解名为EvilTokens的AI辅助钓鱼即服务平台。这是DCU近20年来第40次法院授权打击行动，也是首次针对端到端AI驱动的网络犯罪服务。 【地点】行动由美国弗吉尼亚东区联邦法院于9月15日授权执行，扣押范围覆盖全球79个国家的相关基础设施；英国伦敦大都会警察局网络犯罪小组同步在金丝雀码头和九榆树执行搜查令。 【人物】微软DCU助理总法律顾问Steven Masada主导案件披露；英国大都会警察局侦探督察Serena D'Adamo带队执法，于9月11日逮捕两名嫌疑人（年龄分别为32岁与38岁，据CyberScoop报道为Felix Utomi和Waidi Segun Adams），两人已取保候审，调查仍在进行。 【事件】EvilTokens自2026年2月起在Telegram上以订阅制模式运营，向网络犯罪分子收取1500美元入会费及每月500美元订阅费，至今已发展约1000名付费用户。平台核心是一个AI风格聊天机器人，能够在被入侵的收件箱中自动扫描并识别信任关系、付款授权流程、敏感职责以及电汇讨论，向犯罪分子推荐最易得手的欺诈目标和定制化话术模板。技术层面，该平台滥用微软合法的OAuth 2.0设备授权流程（device authorization flow）——一种本为电视、打印机等无键盘设备设计的登录机制——绕过MFA多重身份验证，整个入侵流程可在数分钟内完成。 【背景】该平台由微软追踪为Storm-2992威胁组织运营。SpyCloud的独立分析确认，EvilTokens至少入侵了分布在79个国家的8708个账户、6585个域名；微软官方数据显示，全球共有约1.2万个微软账户、超过1万个组织遭到入侵。网络安全公司Huntress的遥测数据显示，自该平台2026年2月出现后，设备代码钓鱼攻击激增1380%。 【影响】受害组织覆盖批发分销、建筑、金融服务、房地产、高等教育和医疗保健等行业，地理分布以美国占比最高，加拿大、英国、澳大利亚、印度和法国紧随其后。SpyCloud数据显示97.5%的受害账户为企业域名。FBI互联网犯罪投诉中心已记录13起明确关联案件，确认损失至少170万美元；微软DCU警告这一数字为"保守估计"，实际损失可能更高。微软同时扣押了50个运营网站并瘫痪150个以上（部分报道为175个）相关域名。该事件揭示AI技术正系统性降低网络犯罪门槛——以往需要跨越身份攻击、社交工程与金融欺诈多重经验的复合攻击，如今通过一个聊天机器人界面即可被批量自动化。 【总结】EvilTokens的瓦解标志着AI赋能的网络犯罪已迈入"服务化、订阅化、产业化"阶段，单一威胁可同时冲击上万家全球组织，传统MFA防线在设备代码钓鱼面前形同虚设。企业需在交易确认、付款指令变更等关键流程引入"独立第二可信渠道"进行二次核验，并对设备代码授权流设置严格的访问控制策略。 【参考来源】 1. https://blogs.microsoft.com/on-the-issues/2026/09/22/disrupting-eviltokens-the-ai-chatbot-built-for-cybercrime 2. https://arstechnica.com/security/2026/09/microsoft-disrupts-ai-assisted-platform-that-compromised-12000/ 3. https://thehackernews.com/2026/09/microsoft-takes-down-eviltokens-device.html 4. https://news.qq.com/rain/a/20260923A02K0C00 5. https://www.aichatdaily.com/ai-security/microsoft-disrupts-eviltokens-ai-phishing-platform-hit-12 6. https://www.upday.com/uk/12000-hijacked-accounts-hit-as-global-operation-dismantles-ai-phishing-network/zyvhf1h 7. https://superpowerdaily.com/posts/microsoft-takes-down-eviltokens-an-ai-service-built-for-email-fraud 8. https://www.wortins.com/story/microsoft-disrupts-ai-assisted-platform-that-compromised-12--adeb8667