Operacao internacional derruba plataforma de phishing EvilTokens e prende dois suspeitos no Reino Unido
Uma operacao coordenada entre Microsoft, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, Shadowserver Foundation, TRM Labs e Health-ISAC resultou na apreensao de 50 sites e desativacao de mais de 150 dominios usados pela plataforma de phishing-as-a-service EvilTokens. A policia metropolitana de Londres prendeu dois homens, de 32 e 38 anos, em 11 de setembro de 2026. A plataforma, vendida por assinatura via Telegram, usava IA para analisar caixas de entrada comprometidas e recomendar os melhores alvos para fraude financeira.
A escala da acao coordenada chama atencao: 50 sites apreendidos e mais de 150 dominios desativados em uma unica operacao simultanea. Uma escala assim exige que provedores de hospedagem, exchanges de criptomoedas, fornecedores de modelos de IA e detentores de dados de credenciais roubadas ajam ao mesmo tempo -- do contrario, os operadores da plataforma teriam tempo de migrar a infraestrutura para outro provedor assim que percebessem a primeira derrubada parcial.
No lado penal, a Policia Metropolitana de Londres prendeu dois homens, de 32 e 38 anos, em 11 de setembro de 2026, apreendendo dispositivos digitais e outros itens para pericia. A acao resultou da colaboracao entre a Unidade de Crimes Digitais (DCU) da Microsoft e a equipe de cibercrime da policia britanica, que recebeu inteligencia compartilhada pela Microsoft para agir operacionalmente.
O papel da IA dentro da propria operacao criminosa e o que distingue este caso: a plataforma resumia e traduzia emails roubados, identificava conversas sobre transferencias bancarias, mapeava papeis organizacionais e recomendava potenciais alvos, tudo isso empacotado em um modelo de assinatura comercial ($1.500 de taxa de entrada mais $500 por mes) com suporte ao cliente e painel de gestao -- uma fraude vendida como servico pronto para uso, sem exigir do comprador conhecimento previo de identidade, nuvem ou engenharia social.
A composicao da lista de parceiros da operacao e reveladora: alem de empresas de seguranca tradicionais, participaram um fornecedor de modelos de IA (OpenAI) e provedores de infraestrutura de nuvem (Cloudflare, Railway) diretamente na derrubada. Isso mostra que desmontar cibercrime construido sobre IA hoje exige cooperacao de atores que ate pouco tempo nao eram considerados parte do ecossistema de resposta a incidentes de phishing -- provedores de modelo e de hospedagem cloud se tornaram pontos de intervencao necessarios, nao apenas coadjuvantes eventuais.