Uma operacao coordenada entre Microsoft, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, Shadowserver Foundation, TRM Labs e Health-ISAC resultou na apreensao de 50 sites e desativacao de mais de 150 dominios usados pela plataforma de phishing-as-a-service EvilTokens. A policia metropolitana de Londres prendeu dois homens, de 32 e 38 anos, em 11 de setembro de 2026. A plataforma, vendida por assinatura via Telegram, usava IA para analisar caixas de entrada comprometidas e recomendar os melhores alvos para fraude financeira.
Fonte ↗A Microsoft anunciou a derrubada judicial, autorizada pelo Tribunal Distrital Leste da Virginia, do EvilTokens, servico de phishing por device code que a empresa descreve como tendo usado inteligencia artificial em cada etapa da cadeia de ataque. A plataforma comprometeu mais de 12.000 caixas de correio em cerca de 10.000 organizacoes, com maior concentracao nos EUA, Canada, Reino Unido, Australia, India e Franca, atingindo setores como distribuicao, construcao, servicos financeiros, imoveis, educacao superior e saude. Um chatbot integrado analisava emails roubados em mais de 20 idiomas para localizar relacionamentos de confianca, autorizacoes de pagamento e responsabilidades sensiveis dentro das organizacoes vitimas.
Fonte ↗A Microsoft publicou uma analise tecnica de como a plataforma de phishing-as-a-service EvilTokens abusava do fluxo legitimo de autenticacao 'device code' do OAuth, enganando vitimas para autorizar sessoes de atacantes em portais oficiais como microsoft.com/devicelogin. A plataforma oferecia dezenas de temas de email e pagina gerados com apoio de IA, alem de um script que consultava a validacao do codigo a cada poucos segundos para capturar o token assim que a vitima autenticasse. Apos o roubo, a propria IA da plataforma analisava a caixa de entrada comprometida para identificar alvos de alto valor.
Fonte ↗